优先选ThinkPHP开发中小型后台或内部系统，Laravel更适合中大型、需长期维护或对接云服务的业务系统；两者在易用性、安全性、性能和生态上各有侧重。
中小型后台或内部系统，优先用 ThinkPHP；中大型业务系统、需要长期维护或对接云服务/API，直接选 Laravel。
快速上线但团队没太多 PHP 经验？ThinkPHP 的 .env 和 $this->display() 更省心
ThinkPHP 对新手更“宽容”：数据库配置改 config/database.php 就行，不用理解环境变量分层；模板渲染直接 $this->display('index')，语法和原生 PHP 一致，if/foreach 不用记 @if 和 @endforeach。但要注意：md5() 还在文档里当默认加密示例，实际必须换成 password_hash() 或自己封装盐值逻辑，否则上线后被爆破只是时间问题。
- 适合场景：企业内部审批系统、数据填报后台、学校教务小平台
- 容易踩的坑：
csrf_token()不是默认开启，表单提交前得手动加<input name="token" value="<?php echo $this->request->token(); ?>"> - 性能提示：开启
app_debug = false后，路由匹配速度明显提升，但调试时别忘了关掉日志写入
要做用户权限精细控制或未来要加工作流？Laravel 的 artisan make:policy 和事件监听更可靠
Laravel 的权限模型不是“能用”，而是“能长出业务逻辑”：用 php artisan make:policy PostPolicy 生成策略类后，update() 方法里可以直接调用 Eloquent 关联查询判断“是否是作者+所属部门管理员”，而 ThinkPHP 的 Auth 类默认只支持角色-权限二维映射，想加“申请人不能审批自己提交的单据”这种规则，得硬塞进中间件或重写钩子。
- 常见错误现象：
TokenMismatchException报错——漏了{{ csrf_field() }}或用了 AJAX 却没传X-XSRF-TOKEN头 - 使用场景：SaaS 多租户后台、带审批链的 OA、需对接钉钉/企微开放平台的系统
- 参数差异：
Auth::user()->can('delete', $post)比Auth::check($rule)更易测试和复用
部署在低配服务器或并发量突然冲高？ThinkPHP + Swoole 比 Laravel Octane 更轻量
ThinkPHP 原生支持 Swoole 协程服务器（php think swoole），启动后内存占用常压在 20MB 内；Laravel Octane 虽然也支持 RoadRunner/FrankenPHP，但默认加载全部服务提供者，哪怕你只用到日志和数据库，vendor/autoload.php 仍会加载近 300 个类。如果服务器只有 1G 内存且日活不到 500，强行上 Octane 反而因 GC 频繁导致响应抖动。
|Git删除了文件，但还会在Git 仓库历史中遗留。 - 想要从 Git 历史移除敏感信息（密码、密钥、token、私钥） - 想要删除意外提交的大文件 - 想要重写 Git 历史、移除特定文件的所有痕迹 - 提到 "force push"、"重写 commit 历史" - 需要从所有分支、所有 tag 中删除某个文件
立即学习“PHP免费学习笔记（深入）”；
- 性能影响：ThinkPHP 开启
route_cache后，路由解析耗时可从 8ms 降到 0.3ms；Laravel 必须运行php artisan route:cache才生效，且修改路由后要手动清缓存 - 兼容性注意：ThinkPHP 的
Db::transaction()在 Swoole 下可能不自动回滚，得显式捕获Throwable - 真实案例：某县政务后台用 ThinkPHP + Swoole 支撑 3000+ 并发填报，Laravel 同配置下 CPU 持续 95%+
要用第三方服务或未来可能出海？Laravel 的 composer require laravel/sanctum 几乎是开箱即用
当你需要接入 Stripe 支付、Mailgun 邮件、AWS S3 存储，甚至做 GraphQL API，Laravel 的 Packagist 生态里基本都有现成包，composer require spatie/laravel-permission 这种命名清晰、文档齐全的扩展包，装完跑两行命令就能用。ThinkPHP 的扩展大多靠 GitHub 搜索“tp8 jwt”这类关键词，质量参差，有些连 PHP 8.2 都不兼容。
- 典型错误：
Class 'App\Http\Controllers\JWTAuth' not found—— 因为 TP 的 JWT 插件没自动注册服务提供者，得手动改app.php - 安全提醒：Laravel 的
Hash::make()默认用 bcrypt，比 ThinkPHP 文档里还推荐的md5($pwd.$salt)强得多 - 隐性成本：TP 项目想加 Redis 缓存，得自己写连接池管理；Laravel 直接改
CACHE_DRIVER=redis就行
框架不会替你解决业务逻辑漏洞，但 Laravel 把“怎么写更安全”刻进了骨架里，ThinkPHP 把“怎么写更快上线”写进了每一行注释里——选哪个，取决于你下周要交的代码，还是三年后还要改的代码。
