APP_DEBUG设为false仍可能暴露调试信息，因show_error_msg配置、异常处理器、第三方调试扩展、硬编码中间件、.env残留、SQL日志配置等均可能绕过该开关。
为什么 APP_DEBUG 设为 false 仍可能暴露调试信息
ThinkPHP 的调试开关不是“一关就彻底消失”的开关。即使 APP_DEBUG 是 false，如果配置中残留了 show_error_msg、exception_handle 自定义类未适配生产逻辑，或用了第三方调试扩展（比如 topthink/think-trace），错误堆栈仍可能被渲染到页面上。
常见错误现象：访问不存在的路由时返回完整异常页面，或数据库报错直接显示 SQL 和连接参数。
-
APP_DEBUG = false只影响框架默认行为，不自动禁用所有调试组件 - 检查
config/app.php中是否显式设置了'show_error_msg' => true，该配置优先级高于APP_DEBUG - 确认
config/exception.php中的handle类是否继承自think\exception\Handle，且没在render()方法里无条件输出$e->getTraceAsString() - 运行
php think clear:config清理配置缓存，避免旧配置残留
如何安全移除 think\debug 相关中间件和服务
ThinkPHP 6+ 默认注册了 think\middleware\Debug 中间件，它在 APP_DEBUG = true 时生效，但若你手动在中间件队列里写死了它（比如在 app/middleware.php 中硬编码添加），那它就会绕过开关强制加载。
使用场景：部署后发现响应头里有 X-Powered-By: ThinkPHP 或页面底部出现调试工具栏（即使没登录）。
立即学习“PHP免费学习笔记（深入）”；
- 检查
app/middleware.php，删掉类似think\middleware\Debug::class的条目 - 检查
config/middleware.php中'http' => []数组，确认没有手动追加调试中间件 - 搜索项目目录下所有
use think\debug或new \think\debug\*的代码，这类实例化在生产环境必须删除 - 若用 Composer 安装了
topthink/think-debug，执行composer remove topthink/think-debug彻底卸载
env 文件与部署脚本中容易忽略的调试残留
很多团队用 .env 控制环境变量，但常把 APP_DEBUG=true 提交到 Git，靠 CI/CD 覆盖——这很危险。一旦部署脚本漏掉覆盖，或临时用 php think run 本地测试忘了改，就等于把调试模式直接暴露在公网。
性能影响不大，但安全风险是 0 和 1 的区别：一个未授权的 _debug=1 参数可能触发调试入口（尤其在旧版本中）。
-
.env文件必须设为APP_DEBUG=false，且禁止提交到版本库（加进.gitignore） - 不要依赖运行时动态设置，如
$_ENV['APP_DEBUG'] = false;—— 框架启动早于该赋值，无效 - 检查部署脚本（如 Shell 或 Ansible）是否真正替换了
.env，而不是只改了备份文件 - 用
php -r "var_dump(config('app.app_debug'));"在目标环境直查最终生效值，别只信配置文件内容
数据库调试日志与 SQL 日志的静默关闭
即使界面不显示调试信息，think\db 默认在 APP_DEBUG = true 时记录 SQL 到日志，但如果开启了 log_sql 或 sql_explain 等配置项，它们可能独立于 APP_DEBUG 生效，导致敏感 SQL 泄露到日志文件中。
容易踩的坑：日志文件权限为 644，Nginx/Apache 可直接下载；或日志路径写在 runtime/sql/ 下，被误当静态资源暴露。
- 检查
config/database.php中'log_sql' => true、'sql_explain' => true是否存在，全部设为false - 确认
'deploy' => true（TP6.1+）已开启，它会自动禁用 SQL 日志和解释功能 - 运行
php think clear:log清空历史日志，避免已有敏感记录残留 - 确保
runtime/目录不在 Web 根目录可访问路径下，或通过 Web 服务器配置禁止访问/runtime/.*
最麻烦的不是配置漏关，而是多人协作时有人在本地开了调试，顺手提交了带调试逻辑的控制器方法——上线前 grep 一遍 dump(、halt(、trace() 更实在。
