ThinkPHP 8.1+ 安全加固需强制启用 security_mode：执行 php think version 确认 ≥8.1.0，运行 composer update topthink/framework:^8.1，将 config/app.php 中 'security_mode' => false 改为 true，并清空 runtime/cache/ 目录。
ThinkPHP 项目安全加固不是配置几个开关就能收工的事，核心是堵住四个可被链式利用的入口：Web 服务器暴露的敏感目录、框架动态调用链（如 call_user_func_array）、模板引擎执行能力（尤其是 {php} 类标签）、以及 SQL/XSS 的输入输出通道。低于 8.1 的版本连基础对抗 AI 驱动载荷的能力都没有，升级是硬门槛。
如何确认并强制启用 ThinkPHP 8.1+ 的安全模式
ThinkPHP 8.1 是分水岭版本，内置上下文感知过滤和模板沙箱；低版本即使打补丁也防不住 2026 年新型 RCE 载荷。
- 执行
php think version查看当前版本，输出必须是8.1.0或更高；8.0.9不行，8.1.0-beta也不行 - 运行
composer update topthink/framework:^8.1，注意末尾的^8.1—— 写成^8.0或漏掉^会导致降级或不动 - 编辑
config/app.php，将'security_mode' => false改为true；该配置不启用时，__invoke反射和call_user_func_array动态调用仍可被利用 - 改完后清空
runtime/cache/目录，否则配置可能被缓存绕过
为什么 .htaccess 或 Nginx location 规则总失效
不是规则写得不对，而是放错位置或匹配优先级被覆盖。ThinkPHP 的敏感目录（application、config、runtime）必须在 Web 根目录（即含 public 和 application 的那层）设防，放 public/.htaccess 等于没设。
- Apache 下：
.htaccess必须放在项目根目录，且虚拟主机配置中AllowOverride All已开启；<Directory "application">Require all denied</Directory>这类块不能嵌套在<IfModule mod_rewrite.c>里，否则模块未加载时规则不生效 - Nginx 下：必须用
location ^~ /application/，不能用location ~ ^/application/；正则匹配优先级低于^~，而 ThinkPHP 的通用try_files规则通常写在正则块里，会直接跳过你的禁止规则 - ThinkPHP 6+ 默认目录名是
app而非application，检查实际目录名再写规则，写错一个字母就等于裸奔
模板引擎里 {php} 标签为什么删不干净
ThinkPHP 默认模板引擎对 {php} 标签只做字符串替换，不走 AST 解析，攻击者用 {p{php}hp} 或换行绕过很常见。单纯靠 str_replace 拦截不可靠。
立即学习“PHP免费学习笔记（深入）”；
- 在
config/template.php中把'type'明确设为'think'（不是'file'或留空），否则tpl_replace_string不生效 -
'tpl_replace_string' => ['{php}' => '{notag}', '{/php}' => '{/notag}']是前置混淆，不是删除；真正清理要在编译阶 - 更关键的是：2026 年攻击已绕过标签级处理，必须启用
security_mode启动模板沙箱，否则 AST 层注入（如混淆后的call_user_func_array）无法拦截
数据库密码明文写在 database.php 里安全吗
不安全。直接把 password、username 写死在配置文件中，等于把钥匙贴在门框上——代码一旦泄露（比如误传 GitHub、被拖库、运维权限扩散），数据库就裸奔。
- ThinkPHP 本身不提供内置的凭证加密加载机制，它只认解密后的明文字符串。所以“加密存储”本质是：把密文存在别处 → 启动时解密 → 动态塞进数据库配置数组
- 推荐在
config/database.php里直接调用解密函数，例如：'password' => \app\common\Security::decrypt($_ENV['DB_PASSWORD_CIPHER'])；注意：解密失败必须抛出异常 - 密钥绝不能写进代码或
.env；生产环境必须用外部密钥服务（如阿里云 KMS、AWS Secrets Manager）；开发环境可用本地文件，但该文件必须chmod 600且不在 Git 跟踪范围内 - IV（初始向量）可以和密文一起存（比如用
base64_encode($iv . $ciphertext)），但不能复用 —— 每次加密都生成新 IV
最常被忽略的是：安全模式启用后，security_mode 会禁用所有非白名单反射调用，但如果你在中间件或钩子里手动调用了 ReflectionClass 或 eval 衍生函数，依然会绕过。真正的加固点不在“加了什么”，而在“删掉了哪些默认允许的危险路径”。
