要彻底禁止ThinkPHP控制器方法被直接访问，需关闭url_controller_layer和url_action_layer、开启url_route_must，并配置兜底路由Route::any('*', fn() => abort(404))。
ThinkPHP 路由未启用时，控制器方法仍能被直接访问
默认情况下，ThinkPHP 的 index.php 入口会把请求路由到对应控制器方法，哪怕你没配任何路由规则。也就是说，http://your.site/index.php?c=Index&a=index 或 /index/index 这类 URL 依然能通——这不是“路由生效”，而是框架的默认调度机制在兜底。
要真正禁止这种直连，不能只靠“加路由规则”，得关掉默认调度入口。关键操作是关闭 url_controller_layer 和 url_action_layer 的自动解析，同时确保 url_route_must 开启。
-
url_route_must = true：强制所有请求必须匹配到路由规则，否则 404（注意：仅对路由模式生效，不作用于普通 URL 参数模式） -
url_controller_layer = ''且url_action_layer = ''：禁用 c/a 参数解析逻辑，防止?c=xxx&a=yyy绕过路由 - 入口文件需使用
think\App::run()->send()启动，而非手动 new Controller；否则路由中间件可能不生效
开启路由模式后，Route::rule() 不生效的常见原因
写了 Route::rule('user/:id', 'api.User/read') 却还是 404？大概率是路由没加载或模式不对。ThinkPHP 默认启动的是「兼容模式」，即同时支持 PATH_INFO 和 GET 参数，但路由规则只在「路由模式」下严格校验。
- 确认配置
url_route_on = true，且url_model = 2（PATHINFO 模式）或1（兼容模式），0（普通模式）下路由规则完全不加载 - 路由定义必须放在
route/app.php或通过Route::import()显式载入；写在控制器里或随意位置不会注册 - 如果用了多应用，路由文件路径应为
route/<app_name>/app.php</app_name>，否则主应用路由不识别子应用控制器 - 注意大小写：控制器名
api.User中的User首字母大写，对应类名User，若实际类是user就会找不到
如何让所有控制器方法彻底无法直连（包括调试期）
最保险的做法不是靠配置开关，而是从入口和命名规范双层拦截。ThinkPHP 不提供“全局禁用控制器直访”的一键开关，但你可以用路由兜底 + 命名约定来堵死所有漏网之鱼。
立即学习“PHP免费学习笔记（深入）”；
- 在
route/app.php底部加一条兜底规则：Route::any('*', function () { return abort(404); });，确保无匹配路由时绝不落到控制器 - 把所有真实可用的控制器放在
app/controller/api/或app/controller/v1/等子目录，并在路由中显式绑定前缀，如Route::domain('api', ['app' => 'api']) - 避免使用
Index、Home这类通用控制器名；ThinkPHP 默认会尝试加载它们，哪怕没路由也会 fallback 成功 - 开发期可临时加中间件检测：
if (request()->param('c') || request()->param('a')) { abort(400, 'Direct controller access denied'); }
Apache/Nginx 下 PATHINFO 未生效导致路由 404
即使 ThinkPHP 配置全对，Web 服务器没正确传递 PATHINFO，/user/123 会被当成静态资源 404，或者退化成 index.php?s=/user/123 这种带 s 参数的兼容模式——此时 url_route_must 失效，控制器又活过来了。
- Apache：确认开启了
mod_rewrite，且项目根目录有正确.htaccess（官方标准版已自带，勿删） - Nginx：必须在 server 块里显式设置
fastcgi_param PATH_INFO $fastcgi_path_info;，并用正则重写匹配^/index\.php/(.*)$，否则$fastcgi_path_info为空 - 验证是否生效：打印
$_SERVER['PATH_INFO']，访问/user/1时它应该等于/user/1，而不是空或/index.php/user/1
路由强制绑定不是开个配置就完事的事，它依赖框架模式、服务器环境、路由加载时机三者咬合。最容易被忽略的是 Nginx 的 PATH_INFO 传递，以及兜底路由没写在 route/app.php 最末尾——中间若有其他通配规则，就会提前命中，后面那条 abort(404) 根本执行不到。
