应于ExceptionHandle::render中统一处理异常上报，而非Log::listen；因后者日志重复写入、异常对象不完整、无法区分错误类型且环境兼容性差；需分离邮件与钉钉通道，分别配置频控与环境判断。
直接结论：不要在日志钩子里发钉钉，而应在异常接管层（ExceptionHandle::render）统一处理；邮件和钉钉必须分开控制，且需加频控与环境判断，否则线上会刷爆通知。
为什么 Log::listen 不适合发钉钉
Log::listen 是日志写入前的监听，但 ThinkPHP 的日志系统在 CLI 和 HTTP 下行为不一致：$_SERVER['REQUEST_URI'] 在队列任务中不存在，会触发 Notice；FastCGI 模式下 $_SERVER 字段还可能被缓存或截断。更关键的是，同一个异常可能被多次写入日志（如 debug 日志 + error 日志），导致钉钉重复推送。
- 日志钩子本质是「记录行为」，不是「异常事件」，它不区分错误来源（是业务 throw 还是 PHP fatal）
-
Log::listen里拿不到完整的$exception对象（部分场景$context['exception']为空） - 无法拦截
render阶段已处理过的异常（比如你 render 返回了 404 页面，但日志仍会记一条 error）
正确入口：在 ExceptionHandle::render 中做上报
ThinkPHP 5.1+ 和 6.x 都支持自定义异常处理器，render 方法是异常最终呈现前的唯一出口，此时 $exception 真实、完整、可判别类型。
- 先过滤掉无需告警的异常：
HttpException、ValidateException、ModelNotFoundException等应进 ignoreReport 列表 - 只对未捕获的致命错误（
RuntimeException、ParseError、TypeError）和手动throw new Exception()做上报 - 务必加环境判断：
if (env('APP_DEBUG')) return;，避免开发时干扰 - 钉钉发送必须包裹
try-catch，失败不能阻塞页面渲染
钉钉 Webhook 发送必须校验的三个点
90% 的 400 错误都出在这三处，不是代码问题，而是签名/格式细节没抠准：
立即学习“PHP免费学习笔记（深入）”；
-
timestamp必须是毫秒级整数（round(microtime(true) * 1000)），不能带小数点 -
sign计算时原始字符串严格为"<timestamp>\n<secret>"</secret></timestamp>，中间是\n（换行符），不是\r\n或空格 - JSON body 中
msgtype若为markdown，标题最多到##，表格必须有完整行列，链接必须用[文字](url)格式，否则钉钉直接拒收
邮件和钉钉要解耦，且必须加频控
邮件走 SMTP（慢、有延迟、易进垃圾箱），钉钉走 Webhook（快、实时、易刷屏），两者目的不同，不能共用同一套逻辑。
- 邮件适合发全量堆栈（含
$exception->getTraceAsString()），但一天同个错误最多发 1 封，靠 Redis keyerr:mail:{md5($exception->getMessage())}+ TTL 控制 - 钉钉适合发摘要（文件、行号、错误消息），且每分钟最多 1 条，用
cache()->remember('dingtalk:rate_limit', 60, fn() => 0)做计数 - 不要在钉钉消息里拼接长 trace，超过 2000 字会被截断；想看详情应跳转到日志平台 URL（如 ELK 链接）
最常被忽略的是：钉钉签名里的 \n 容易被 IDE 自动转成 Windows 换行，本地测试通、上线就 400；还有就是没关 APP_DEBUG 就上线，结果每天收几百条“Undefined variable”通知——这些都不是技术难点，是 checklist 没过。
