ThinkPHP敏感信息防护需五措并举：一、Web服务器层禁访application等目录；二、runtime移出Web根目录并校验可写；三、数据库密码改用环境变量注入并CI检查；四、全链路屏蔽错误显示，仅记录日志；五、Redis连接加固并加密敏感缓存数据。
如果您正在使用ThinkPHP框架开发Web应用，但发现数据库密码、日志内容、配置文件路径等敏感信息可能通过错误页面、URL直接访问或日志下载等方式暴露，则说明敏感信息防护机制存在缺失。以下是针对该问题的多种防护措施：
一、禁止敏感目录Web直接访问
ThinkPHP项目中application、config、runtime、common（若存在）、extend（含敏感配置）等目录存储核心逻辑、数据库凭证、缓存与日志，必须确保无法通过HTTP请求直接读取其内容。防护需在Web服务器层实现，而非依赖框架路由。
1、Apache环境下，在项目根目录（即包含public和application的同级目录）创建或编辑.htaccess文件，为每个敏感目录添加独立拒绝规则。
2、确认服务器已启用mod_rewrite模块，并在虚拟主机配置中设置AllowOverride All，否则.htaccess不生效。
立即学习“PHP免费学习笔记（深入）”；
3、严格核对目录名：ThinkPHP 6+ 默认使用app而非application，写错名称将导致规则失效。
4、切勿将.htaccess置于public/目录内——其作用域仅限所在目录及子目录，无法覆盖同级的application等目录。
二、将runtime日志目录移出Web根目录
日志泄露风险的根本原因在于runtime/log/位于Web可访问路径下。即使配置了location或.htaccess拦截，仍存在规则遗漏、重写冲突或部署疏忽导致破防的可能。最可靠的方式是物理隔离路径。
1、将项目部署结构设为/var/www/myapp/，Web服务器root指向/var/www/myapp/public/。
2、将runtime目录实际存放于/var/www/myapp/runtime/（与public同级），确保其完全不在任何URI映射路径中。
3、在ThinkPHP配置中显式修改log.path为绝对路径，例如/var/www/myapp/runtime/log/。
4、启动时调用is_writable()检测该路径是否可写，失败则记录错误并终止初始化，避免日志静默丢弃。
三、数据库凭据环境变量化与配置隔离
硬编码数据库密码于config/database.php中等同于将密钥明文张贴于服务器，一旦该文件被意外解析或下载，凭据即全面暴露。必须剥离静态配置，改由运行时安全注入。
1、在系统级或容器环境中设置环境变量，如DB_PASSWORD=Zx9#kL2!mQp@，确保.env文件不存于Web可访问路径且未提交至版本库。
2、在database.php中显式引用：'password' => getenv('DB_PASSWORD') ?: ''，禁用任何默认值或测试密码回退逻辑。
3、在CI/CD流程中插入检查命令：grep -q "password\|passwd" config/database.php && exit 1，防止凭据误入代码仓库。
4、对于Swoole或Workerman长连接场景，在数据库连接建立后立即unset($config['password'])，避免凭据长期驻留进程内存。
四、生产环境错误信息全链路屏蔽
PHP错误信息若开启display_errors = On，将直接向浏览器输出完整堆栈、变量值、文件绝对路径及数据库连接串，构成高危信息泄露面。必须切断所有前端可见错误输出通道。
1、在php.ini中设置display_errors = Off、log_errors = On，并指定error_log = /var/log/php/error.log。
2、验证配置实际生效：访问含trigger_error('test', E_USER_WARNING)的测试脚本，页面必须为空白；同时查看phpinfo()中display_errors的“Local Value”是否为Off。
3、在try-catch块中禁止调用$e->getMessage()或var_dump($e)，仅使用error_log($e->__toString(), 4)记录日志。
4、前端响应统一返回“操作失败，请稍后重试”等无区分度提示，禁用任何基于异常类型的差异化前端文案。
五、Redis缓存数据加密与连接加固
当ThinkPHP使用Redis作为缓存或会话后端时，若未对敏感字段加密或未限制访问权限，攻击者可通过未授权Redis实例或内存dump获取用户令牌、手机号等关键数据。
1、在Redis服务端配置redis.conf：绑定本地地址bind 127.0.0.1，并启用密码认证requirepass Yt7$FvN!xRq#。
2、ThinkPHP缓存配置中明确设置'password' => getenv('REDIS_PASSWORD')，禁用空密码连接。
3、对写入Redis的敏感数据（如JWT payload、用户手机号）执行AES-256-CBC加密，密钥通过环境变量加载，严禁硬编码。
4、调用Cache::set()时强制设置过期时间，例如Cache::set('user_token_123', $encrypted, 3600)，避免长期驻留。
