PHP Mess Detector非常棒，而且速度很快。

有一个用于PHP脚本漏洞的静态源代码分析器。RIPS的源代码可以在SourceForge上找到。

来自RIPS网站:

RIPS is a tool written in PHP to find vulnerabilities in PHP applications using static code analysis. By tokenizing and parsing all source code files RIPS is able to transform PHP source code into a program model and to detect sensitive sinks (potentially vulnerable functions) that can be tainted by userinput (influenced by a malicious user) during the program flow. Besides the structured output of found vulnerabilities RIPS also offers an integrated code audit framework for further manual analysis.

在线PHP lint

PHPLint

单元变量检查。不过，Link 1和2似乎已经很好地做到了这一点。

不过，我不能说我密集地使用了其中的任何一个:)

从命令行以lint模式运行php以验证语法而不执行:

php -l FILENAME

高级静态分析器包括:

php-sat -需要http://strategoxt.org/ PHP_Depend PHP_CodeSniffer PHP混乱检测器 PHPStan PHP-CS-Fixer 显象

较低级别的分析器包括:

PHP_Parser Token_get_all(原语函数)

由于PHP的动态特性，运行时分析程序对某些事情更有用，包括:

Xdebug具有代码覆盖和函数跟踪。 我的PHP跟踪工具基于Xdebug的函数跟踪，使用静态/动态结合的方法。

文档库phpdoc和Doxygen执行一种代码分析。例如，Doxygen可以配置为使用Graphviz呈现良好的继承图。

另一个选项是xhprof，它类似于Xdebug，但更轻，适合于生产服务器。该工具包括一个基于php的界面。

为了完整起见，还要检查phpCallGraph。

参见Semantic Designs的克隆检测工具CloneDR，它可以发现复制/粘贴/编辑的代码。

它将找到精确的和接近错误的代码片段，尽管有空白，注释，甚至变量重命名。PHP的检测报告样本可以在网站上找到。(我是作者。)