不能把 config 目录留在 public 下，否则配置文件可能被直接下载导致数据库密码泄露；必须将其移至 Web 根目录外，并通过 define('CONFIG_PATH', ...) 和 app()->config->setPath() 指定新路径。

为什么不能把 config 目录留在 public 下

ThinkPHP 默认的 config 目录在 app/config，但很多新手会误把整个 app 放进 public，或直接把 config 暴露在 Web 可访问路径下。一旦发生，.php 文件没被正确解析（比如服务器配置异常），攻击者就能直接下载 database.php、cache.php，数据库账号密码全泄露。

核心问题不是“能不能移”，而是“不移就等于裸奔”。Web 服务器只该暴露 public 下的入口文件，其余所有源码、配置、运行时目录必须在 Web 根目录之外。

怎么改 App::getInstance() 的配置加载路径

ThinkPHP 6+ 使用 think\App 类启动，配置由 think\Config 加载，默认从 app/config 读取。要移出 Web 目录，关键不是改文件位置，而是改加载逻辑——让框架知道新路径在哪。

• 把原 app/config 整个移到 Web 根目录外，比如和 public 同级的 config 目录
• 在 public/index.php 中，在 App::getInstance() 调用前插入一行：

  define('CONFIG_PATH', dirname(__DIR__) . DIRECTORY_SEPARATOR . 'config' . DIRECTORY_SEPARATOR);

• 然后在 App::getInstance() 初始化后，手动重置配置路径：

  app()->config->setPath(CONFIG_PATH);

• 确保 CONFIG_PATH 最终指向的是绝对路径，且 PHP 进程有读取权限；相对路径容易因 CLI/Web 工作目录不同而失效

遇到 Config not found 或空数组怎么办

常见错误现象：页面报错 Config not found: app，或者 Config::get('database') 返回空。本质是路径没生效，或文件权限/命名不匹配。

立即学习“PHP免费学习笔记（深入）”；

• 检查 CONFIG_PATH 是否真实存在且可读：var_dump(is_readable(CONFIG_PATH));
• 确认新 config 目录下仍有 app.php、database.php 等标准文件，ThinkPHP 不会自动扫描子目录，只认根下的 PHP 配置文件
• 如果用了多环境（如 config/dev），需手动指定：

  app()->config->setPath(CONFIG_PATH . 'dev' . DIRECTORY_SEPARATOR);

• CLI 命令（如 php think optimize:config）可能仍读旧路径，需同步修改 think 命令入口脚本中的加载逻辑

移出后要注意 runtime 和 vendor 的连带影响

只动 config 是不够的。runtime 目录也必须移出 Web 目录，否则缓存、日志文件可能被直接访问；vendor 虽然不敏感，但若放在 public 下，Composer 自动加载可能出错。

• 统一规划目录结构，推荐：

  /project-root/
  ├── config/
  ├── runtime/
  ├── vendor/
  ├── app/
  ├── public/         ← Web 根目录，仅放 index.php + static
  └── think

• 在 public/index.php 中同步设置 RUNTIME_PATH：

  define('RUNTIME_PATH', dirname(__DIR__) . '/runtime/');

• 别忘了更新 .env 中的 APP_DEBUG 和 LOG_LEVEL，它们会影响 runtime 下的日志行为，但本身不决定路径

路径挪得再干净，只要 public/index.php 里漏掉一个 define，或服务器 open_basedir 限制没同步调整，就白忙一场。