ThinkPHP多语言文件若被直接访问会泄露敏感键名，暴露业务逻辑；应将其移出Web根目录，禁用Web服务器对lang/目录的访问，并确保语言包仅含静态文案、不含配置或凭证。
ThinkPHP多语言文件被直接访问导致敏感键名泄露
多语言配置文件（如 zh-cn.php、en-us.php）若放在 lang/ 目录且未做 Web 访问限制，攻击者可直接请求 /lang/zh-cn.php 下载原始 PHP 数组，暴露所有翻译键名（如 'user_password_tip'、'pay_confirm_desc'），间接映射业务逻辑与字段含义。
常见错误现象：Nginx/Apache 未配置禁止访问 .php 文件的目录，或 lang/ 目录被意外置于 Web 根目录下；测试环境用 file_get_contents('lang/zh-cn.php') 加载时路径写错，反而触发 Web 服务器直接响应 PHP 源码。
- 将多语言文件移出 Web 可访问路径（推荐放至
app/lang/或runtime/lang/） - 若必须放在
public/lang/，需在 Web 服务器层禁用执行与下载：
– Nginx 添加location ~ ^/lang/.*\.php$ { return 403; }
– Apache 在lang/.htaccess中写Deny from all - 不要在语言文件中硬编码敏感文案（如“密码已重置为
{$pwd}”），键值应只含静态文本
Lang::get() 返回内容被前端 JS 直接拼接引发 XSS
Lang::get('login_failed') 返回的字符串若未经转义就插入 HTML 或 JS 上下文（如 document.title = Lang::get('page_title');），而对应语言值含用户可控变量（如动态提示 “欢迎回来，{name}”），极易触发 XSS —— 尤其当 {name} 来自未过滤的 GET 参数时。
真实使用场景：国际化弹窗、表单校验提示、页面标题动态渲染等前端强依赖多语言的地方。
立即学习“PHP免费学习笔记（深入）”；
- 前端接收语言文案后，一律用
htmlspecialchars()或DOMPurify.sanitize()处理再插入 DOM - 服务端避免在语言包里使用插值语法（如
"Hello {name}"），改用纯静态文案 + 前端模板（如`Hello ${name}`）分离控制权 - 若必须服务端插值，用
str_replace()显式替换，且确保{name}已经过filter_var($name, FILTER_SANITIZE_STRING)过滤
多语言切换接口返回完整语言包导致信息过度暴露
为实现前端动态切换语言，有些项目提供 /api/lang?lang=zh-cn 接口，直接 return config('lang.' . $lang); 或 return include lang_path($lang);，结果把整个语言数组（含数百条键值）一次性返回，其中可能包含调试用键（如 'debug_sql_log'）、内部状态提示（如 'cache_expired_notice'）甚至残留的测试文案（如 'test_api_key_hint'）。
性能与安全影响：一次请求返回 200KB+ JSON，拖慢首屏；键名暴露系统模块划分（如 'admin_user_list' → 存在后台管理模块）。
- 接口只返回当前页面实际需要的键（如传参
keys[]=login&keys[]=logout），用array_intersect_key()筛选 - 语言包加载后，先用白名单过滤键名：
$whitelist = ['login', 'logout', 'submit']; $data = array_intersect_key($langData, array_flip($whitelist)); - 禁用调试类键名自动加载：在
config/lang.php中设置'allow_debug_keys' => false，并在加载逻辑中跳过含debug、test的键
语言包中误存敏感配置或凭证
极少数开发者会把多语言文件当配置文件用，在 zh-cn.php 里写 'api_base_url' => 'https://dev-api.example.com' 或 'third_party_key' => 'sk_live_abc123'，导致这些值随语言包被前端读取或日志记录，完全失去保密性。
这不是 ThinkPHP 的问题，而是人为混淆了「展示文案」和「运行时配置」的边界。
- 语言包只允许字符串值，禁止数组、URL、密钥、路径等任何运行时参数
- 配置项统一走
config/目录，且生产环境通过环境变量注入（如$_ENV['API_BASE_URL']），绝不硬编码 - CI/CD 流程中加入扫描步骤：用正则
/[\'"](?i:api|key|secret|token|url)[\'"]\s*=>/检查语言文件，命中即阻断发布
