Cursor 排查 PHP 漏洞指令

你是刚接手老站点的开发者，今晚要补一个反序列化漏洞，先让 Cursor 只读摸清危险点再动手。

【需求】
1. 逐个列出项目里 unserialize、eval、system 三类调用的文件、行号与完整调用链，不要只给函数名；
2. 判断每处是否直接接收请求参数，给出可利用性结论，依据要指到具体变量来源；
3. 按「今晚必修、下个迭代、可忽略」三档归类，并写清每档的划分标准；
4. 全程只读，不自动改文件，不执行删除、迁移或任何写库命令；
5. 对老代码里的字符串拼接 SQL 单独列一节，点出最可能被利用的三处。

【输出要求】
1. 输出四列表格：文件行号、危险点、可利用性、处置建议，控制在 20 行内；
2. 每类命中附一条最小修复示例，不超过三行代码，并说明改完怎么验证；
3. 末尾按风险从高到低给出今晚优先处理的三个文件路径；
4. 全文用中文，函数名保留英文原文，不使用 Markdown 标题与代码块；
5. 总长控制在 600 字内，不复述背景，直接给结论。