ThinkPHP路由安全需多层防护：必须设URL_ROUTER_ON为true，但仅开启不等于安全；须用Route::get()等限定HTTP方法，变量加pattern()正则约束，配合VerifyToken中间件、QSA重写规则及控制器参数验证。
URL_ROUTER_ON 必须为 true，但仅开启路由不等于安全——它只是开关，不是防护盾。ThinkPHP 的 URL 路由本身不自带输入过滤或权限校验，所有“安全”都依赖你主动配置约束、中间件和参数验证。
Route::get() 等语义化方法必须代替 Route::rule()
用 Route::rule() 注册带变量的路由（比如 'user/:id'）默认响应所有 HTTP 方法，POST 请求也能触发 GET 逻辑，极易引发 CSRF 或越权操作。
-
Route::get('user/:id', 'user/read')✅ 只响应 GET，中间件（如VerifyToken）能按预期拦截非授权请求 -
Route::rule('user/:id', 'user/read')❌ 默认 method =*，POST/PUT/DELETE 都能进，且 VerifyToken 中间件可能被绕过 - API 路由若需支持 POST，必须显式写
Route::post('api/login', ...)，不能靠Route::rule模糊匹配
所有路由变量必须加正则约束 pattern()
:id 或 {id} 默认只排除 /，但不防 SQL 注入、路径遍历或类型混淆。例如 user/123abc 会被接受，进控制器后转 intval() 得 0，可能查错记录。
- 数字 ID 强制约束：
->pattern(['id' => '\d+']) - 英文标识符：
->pattern(['name' => '[a-zA-Z][a-zA-Z0-9_]*']) - 含斜杠的 Base64 token：
->pattern(['token' => '\S+'])（别用.*，会贪婪吞掉后续段） - 中文参数需额外放开：
[\x{4e00}-\x{9fa5}a-zA-Z0-9_]+，但必须配合控制器内htmlspecialchars()或模板自动转义
CSRF 验证与 VerifyToken 中间件不能被意外跳过
ThinkPHP 默认启用 VerifyToken 中间件，但它的生效前提是路由走的是 Route::get()/Route::post() 等明确方法注册的路径。闭包路由、Route::rule() 或未绑定中间件的分组，都会导致 CSRF 校验失效。
Skill Weave Chains — 技能链路由引擎
下载
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
- 表单提交必须带隐藏域：
<input type="hidden" name="__token__" value="{:token()}"> - AJAX 请求需在 header 加
X-CSRF-TOKEN，值来自csrf_token() - 关闭 CSRF 仅限纯 API 场景，且必须显式声明：
->middleware([])或->middleware([AllowCrossDomain::class])，不能靠注释或留空数组 - 命令行环境（
php think route:list）不加载中间件，测试 CSRF 必须走真实 HTTP 请求
Apache/Nginx 重写规则要保留查询参数（QSA）
如果用了伪静态（如把 index.php?s=/user/123 重写为 /user/123），但服务器配置漏了 [QSA]，原始 URL 中的 ?from=app&v=2 会被丢弃，导致来源识别失败、A/B 测试参数丢失，甚至绕过某些基于 query 的权限判断。
立即学习“PHP免费学习笔记（深入）”；
- Apache
.htaccess示例：RewriteRule ^(.*)$ index.php?s=$1 [QSA,PT,L]——[QSA]是关键 - Nginx 配置中确保有
try_files $uri $uri/ /index.php?$query_string; - 测试方式：访问
/user/123?debug=1，在控制器里dump(input('debug'))，输出应为"1"，否则就是 QSA 缺失
app_route）、定义层（Route::get + pattern）、传输层（QSA、CSRF Token 头）、执行层（中间件顺序、控制器内 input() 用法）。少一环，攻击面就多一个入口。 
