必须将 APP_DEBUG=false 写入 .env 并确保 config/app.php 中 app_debug、app_trace、show_error_msg 均为 false，同时清除配置缓存、禁用 X-Powered-By 头，才能彻底关闭生产环境调试信息。
如何在 ThinkPHP 生产环境彻底关闭调试信息显示
生产环境出现 Whoops! 页面、详细错误堆栈或 SQL 语句暴露，说明 app_debug 没关死，或存在配置覆盖。ThinkPHP 的调试开关不仅受 app_debug 控制，还和 app_trace、show_error_msg、以及异常处理中间件行为强相关。
关键操作是：在 config/app.php 中确保以下三项为 false：
-
app_debug→ 必须为false（这是总开关，设为true时其他设置可能被绕过） -
app_trace→ 必须为false（否则即使关闭 debug，Trace 面板仍可能泄露路径和变量） -
show_error_msg→ 必须为false（控制是否向客户端输出错误详情，底层由think\exception\Handle类读取）
注意：env 文件中的 APP_DEBUG=true 会优先覆盖 config/app.php，所以必须同步检查 .env 是否已删或设为 APP_DEBUG=false。
为什么仅改 config/app.php 不足以保证生产环境安全
ThinkPHP 启动时按顺序加载配置：环境变量（.env）→ 框架默认 → 应用配置（config/ 目录）→ 动态赋值（如 Config::set()）。只要任一环节把 app_debug 设为 true，调试模式就激活。
立即学习“PHP免费学习笔记（深入）”；
常见漏点：
-
public/index.php中手动调用了define('APP_DEBUG', true)（老项目迁移时易残留） - 部署脚本或 CI/CD 流程中执行了
php think optimize:config但未清理缓存，导致旧配置仍生效 - 某些云平台（如阿里云函数计算）会自动注入调试环境变量，需在入口文件顶部加
putenv('APP_DEBUG=false')强制覆盖 - 自定义异常处理器里调用了
var_dump()或throw new Exception(...)未被捕获，直接透出原始错误
自动化切换配置：用 env 文件 + 环境判断代替硬编码
不要在代码里写 if (APP_ENV === 'prod') { ... }，ThinkPHP 原生支持多环境配置隔离。正确做法是：
- 删除
config/app.php中所有与环境相关的条件分支 - 在项目根目录维护
.env，内容只保留基础声明：APP_ENV=prod APP_DEBUG=false APP_TRACE=false
- 将不同环境的差异化配置抽到
config/<env_name>/</env_name>目录下，例如：config/prod/database.php覆盖数据库配置，config/prod/log.php关闭日志冗余输出 - 部署时仅替换
.env文件，其余配置靠框架自动加载对应子目录，无需修改 PHP 文件
验证是否生效：访问一个不存在的路由，应返回统一的 404 页面（非 Whoops），且响应头中不含 X-Powered-By: ThinkPHP（该头默认开启，需在 config/app.php 中设 header_version 为 false 才隐藏）。
上线前必须检查的三个终端命令
别只信浏览器表现，用命令行直击配置真实状态：
- 查看当前生效的
app_debug值：php think env:get APP_DEBUG（输出false才可信） - 清空全部配置缓存：
php think clear:config（避免runtime/config/下残留旧缓存） - 模拟生产请求并检查响应体：
curl -I http://your-domain.com/xxx 2>&1 | grep -i "x-powered-by\|error"（确认无调试标识、无500 Internal Server Error明文）
最常被忽略的是 runtime/ 目录权限问题：如果 Web 进程无法写入该目录，ThinkPHP 会降级使用内存缓存，导致你改了 .env 却没生效——因为配置没刷新进缓存，还在读旧的内存快照。
