取决于你的目的还有是否有在线环境测试。
只以下观点仅凭个人经验和知识能力得出。
先说无环境 就硬看，只是为了知道个大概，看看目录结构，定位一下业务核心逻辑块，定位一下路由部分，各种模型定义操作，各种自定义函数，跳过跳过，1—3 天吧。
如果是要熟知业务流程，各模型定义函数定义还有数据流向变化，可能得一周。
如果要能上手修改或者新增功能，模块，尽可能不会出现重复定义已有功能模块函数，那 1—2 周。
如果是为了挖掘安全漏洞，所有业务逻辑全跳过，直接定位危险函数模块，反向追踪数据流向看是否存在人为控制的可能，中低危漏洞比如 xss ，ssrf 之类的直接跳过不找，1—3 天，如果算上找逻辑性漏洞，比如调用外部程序或者有并发性场景数据污染这些 1—2 周。
以上时间在有环境测试的情况下 时间至少缩短一半。