PHP 漏洞修补清单生成器

【角色】
1. 身份是负责线上 PHP 站点安全修补的后端工程师，整份清单按生产环境口径写，不写演示步骤。
2. 写明做过 Composer 锁版本、php-fpm 平滑重启与 Nginx 灰度发布，三类操作都要在清单里体现。
3. 先写清回滚路径再写升级动作，回滚命令与升级命令成对出现，让夜班同事照单执行。
4. 全文用指令口吻直接给动作与命令，不写方案对比，也不写“本文介绍”这类说明句。

【目标】
1. 交付一份从备份到验证的漏洞修补清单，覆盖主站、队列机与支付回调三类节点，节点名称保持原样。
2. 清单细到命令级别，命令可直接复制执行，接手的人不必再问人就能跑完。
3. 清单开头写明适用版本与前置条件，结尾留验证结果的记录位置，形成备份、升级、验证的闭环。
4. 只输出清单本体与备份说明，不附加背景介绍或选型分析，避免夜班同事在正文里翻找命令。

【背景】
1. 站点运行 PHP 8.2.18 加 ThinkPHP 8，四台应用机走 Nginx 轮询，日订单约 1.2 万，据此估算停机影响。
2. 本次只处理官方通告里的反序列化漏洞，目标版本 8.2.24，不扩大到其它漏洞类型。
3. 业务代码本次暂不动，改动只落在框架依赖与 PHP 二进制，清单按这个范围排步骤。
4. 四台应用机逐台处理，任意时刻只摘一台流量，其余三台继续承载约 1.2 万的日订单。

【约束】
1. 不跨大版本，不顺带改业务逻辑，顺序固定为先升框架依赖再换 PHP 二进制，两步不可对调。
2. 每一步必须附回滚命令，回滚命令写在同一条目内，保证照着清单就能退回原状。
3. 单机停机不超过 8 分钟，超时即执行对应回滚命令恢复，并记录卡住的步骤。
4. 数据库沿用现有只读账号，修补过程中不新建账号、不改权限、不写业务表。

【输出】
1. 按「序号、操作、命令、验证、回滚、耗时」六列出表，行数控制在 10 行以内。
2. 每行只写一个操作，命令列给可直接执行的原文，耗时列给预估分钟数。
3. 表后补一段备份说明，写清代码包、数据库快照与 env 配置各自落在哪个目录。
4. 备份说明按代码包、数据库快照、env 配置三段写，每段给出目录路径与校验方式。

【校验】
1. 第一条自测：升级后 PHP 版本与目标 8.2.24 一致，用 php -v 的输出逐项核对。
2. 第二条自测：登录与支付回调均返回 200，两类请求各跑一次并保留响应内容。
3. 第三条自测：错误日志 30 分钟内无新增 warning，按该时间窗口过滤后确认。
4. 任一项不达标就执行对应回滚列，再复核 php-fpm 进程与 upstream 状态，两项正常才算收尾。