用途：该技能定义 2026 年 PHP 工程实践基线，支持两种模式——BUILD（按标准编写或修改代码）与 AUDIT（对照标准审查现有代码并报告问题）。详细规则位于 rules/*.md，需先完整阅读 SKILL.md，再按索引按需加载规则文件。
主要能力：BUILD 模式先建立上下文，检查 composer.json（require.php、config.platform）、composer.lock、所用框架、PHPStan/Psalm 配置与代码规范；新项目按 rules/05 脚手架，PHP ≥ 8.3、提交 lockfile、PHPStan 最高级别、PER-CS 格式、CI 门禁。默认风格为每个文件 declare(strict_types=1)、完整类型、构造器提升、readonly、枚举替代类常量、match 替代 switch、异常替代错误码、禁用 @ 抑制。安全默认非可选：PDO 预处理语句、按上下文输出转义、按内容校验上传、外部数据不用 unserialize()、密码用 password_hash/sodium/random_bytes。有框架时优先使用其转义、CSRF、认证与校验机制。测试随代码提供，静态分析与代码规范须通过。性能方面，OPcache 属部署配置，超出默认正确性的优化需先做性能剖析。
AUDIT 模式：先机械扫描，运行各规则文件末尾的审计清单命令，从 composer audit --locked 及 grep 扫描 unserialize(、eval(、shell_exec、字符串拼接 SQL、echo $_ 开始；再审查设计层面的信任边界、转义策略、会话生命周期、N+1、lockfile 纪律。每条发现须打开文件追踪数据流验证，已存在的缓解措施需注明，不报告自动修复器可处理的风格噪音。严重级别分 CRITICAL、HIGH、MEDIUM、LOW、INFO，发现格式为 file:line | 违反规则 | 严重级别 | 工作量 | 修复，按严重级别分组，CRITICAL 优先，未确认的发现标注 needs verification，结尾给出各级别计数、已运行命令与明确检查干净的区域。
适用场景：编写或审计 PHP 代码、依赖与 CI 配置、会话认证、文件上传、SQL/命令/HTML 输出、性能与部署相关代码。
限制：资料未提供具体安装命令、收费方式、平台支持范围或效果数据；规则细节需查阅对应 rules 文件。