ThinkPHP应用需结合应用层防火墙强化Web访问控制：一、用中间件实现IP白名单；二、配置PHP-WAF扩展检测SQL/XSS等攻击；三、Nginx中用geo+map做前置IP过滤；四、闭包路由单点校验；五、集成PHPWAF自定义规则匹配攻击特征。
如果您在部署 ThinkPHP 应用时需强化 Web 层访问控制，仅依赖系统级防火墙（如 ufw/firewalld）无法精细拦截特定路由或 HTTP 请求特征，则必须结合应用层防火墙机制。以下是针对 ThinkPHP 框架配置防火墙规则的多种实战路径：
一、使用中间件实现 IP 白名单控制
该方法通过请求进入控制器前校验客户端真实 IP，适用于管理后台、API 管理端等需严格限制访问来源的场景。需注意 Nginx/Apache 是否正确传递 X-Forwarded-For 头，否则 $request->ip() 可能返回代理地址。
1、执行命令创建中间件：php think make:middleware IpWhitelistMiddleware
2、编辑 app/middleware/IpWhitelistMiddleware.php，在 handle 方法中插入判断逻辑：
立即学习“PHP免费学习笔记（深入）”；
3、从配置文件读取白名单：config('route.ip_whitelist')，该数组应包含 IPv4 与 IPv6 地址（如 '127.0.0.1' 和 '::1'）
4、获取客户端真实 IP：$clientIp = $request->realIP() ?: $request->ip()，优先使用 realIP() 避免反向代理污染
5、若 $clientIp 不在白名单内，立即返回 403 响应：return response('Forbidden', 403)->header('Content-Type', 'text/plain');
6、在 route/app.php 中绑定中间件到目标路由组：Route::group(['middleware' => 'IpWhitelistMiddleware'], function () { ... });
二、配置 PHP-WAF 扩展进行请求体检测
该方案在 PHP 解析请求阶段即介入，可拦截 SQL 注入、XSS、路径遍历等恶意载荷，不依赖框架生命周期，防护粒度更细且性能开销低。
1、克隆并编译 PHP-WAF 扩展源码：git clone https://github.com/leeao/php-waf.git && cd php-waf && phpize && ./configure --enable-php-waf && make && sudo make install
2、修改 php.ini，添加以下三行：
3、创建规则目录并写入自定义规则文件：sudo mkdir -p /etc/php-waf/rules && echo 'select.*from|union.*select|script.*>|./..' | sudo tee /etc/php-waf/rules/thinkphp.rule
4、重启 PHP-FPM 服务使扩展生效：sudo systemctl restart php-fpm
5、验证扩展是否加载：php -m | grep php_waf，输出 php_waf 表示成功
6、构造测试请求验证拦截效果：curl "http://localhost/index.php?s=/index/test&id=1%20union%20select"，预期返回 HTTP 403
三、在 Nginx 配置中嵌入 geo+map 实现轻量级 IP 过滤
该方法绕过 PHP 执行流程，在 Web 服务器层完成黑白名单匹配，响应更快、资源占用更低，适合高并发静态资源或固定接口路径的前置过滤。
1、在 Nginx 主配置的 http 块中定义 IP 白名单映射：geo $allowed_ip { default 0; 127.0.0.1 1; 192.168.10.0/24 1; }
2、声明变量将 geo 结果转为布尔标识：map $allowed_ip $blocked { 0 1; 1 0; }
3、在 server 块中定位需保护的 ThinkPHP 路由路径（如 /admin/*）：location ^~ /admin/ { if ($blocked) { return 403; } }
4、确保该 location 位于 ThinkPHP 通用重写规则之前，避免被 rewrite 覆盖匹配逻辑
5、重载 Nginx 配置：sudo nginx -t && sudo systemctl reload nginx
6、使用非白名单 IP 访问 /admin/index，确认返回 403 且无 PHP 错误日志产生
四、通过闭包路由实现单点路由级 IP 校验
该方式适用于临时性、单一路由的快速防护，无需创建中间件或修改服务器配置，但不可复用、不便于统一维护，仅建议用于紧急上线的调试接口或运维入口。
1、在 route/app.php 中定义闭包路由：Route::get('debug/info', function () { ... });
2、在闭包内获取当前请求实例：$request = app('request');
3、提取客户端 IP 并比对预设值：if (!in_array($request->ip(), ['10.0.0.5', '2001:db8::1'])) { abort(403); }
4、闭包内仅保留必要轻量逻辑，禁止调用模型、数据库或耗时操作
5、确保该闭包路由定义在所有 Route::rule() 或 Route::any() 通配规则之前，防止被提前匹配
6、访问 /debug/info，验证非授权 IP 被立即中断且无后续执行痕迹
五、集成 PHPWAF 自定义规则文件进行攻击特征匹配
该方法基于 ModSecurity 兼容引擎，支持 PCRE 正则深度匹配请求参数、头部、Cookie 等字段，适用于已部署 PHPWAF 的生产环境，规则独立于代码，便于安全团队统一管理。
1、确认 PHPWAF 规则目录位置：/usr/local/phpwaf/rules/，若不存在则创建
2、新建 ThinkPHP 专用规则文件：sudo touch /usr/local/phpwaf/rules/thinkphp_custom.rule
3、写入一条唯一 ID 的 SQL 注入防护规则：SecRule ARGS "@rx (?i)exec\s+sp_executesql|call_user_func.*?" "id:9001,rev:1,tag:'THINKPHP',msg:'ThinkPHP RCE Attempt',deny,status:403"
4、检查规则语法是否合法：sudo phpwaf -t 2>&1 | grep -i error，无输出表示语法正确
5、重启 PHPWAF 服务以加载新规则：sudo systemctl restart phpwaf
6、发送触发请求验证：curl "http://localhost/?s=index/test&func=call_user_func"，观察响应状态码是否为 403 并检查 /var/log/phpwaf/error.log 中是否有匹配日志
