show_error_msg=false不能完全隐藏ThinkPHP错误堆栈，因app_debug=true时内置异常处理器仍输出完整堆栈；生产环境须同时设app_debug=false、show_error_msg=false，并确保.env中APP_DEBUG=false，且自定义异常处理器的render()方法不泄露堆栈信息。
部署模式下 show_error_msg 设为 false 并不能完全隐藏 ThinkPHP 的错误堆栈 —— 因为框架底层还有 app_debug 和异常处理器双重控制，漏掉任一环节都会导致敏感信息泄露。
为什么 show_error_msg = false 有时没用
这个配置只影响模板层对错误消息的渲染逻辑，不干预异常捕获与输出流程。当 app_debug = true 时，ThinkPHP 会直接使用内置的 think\exception\Handle 类打印完整堆栈；即使关了 show_error_msg，HTTP 响应体里照样返回带文件路径、变量值、SQL 片段的 HTML 错误页。
-
app_debug是总开关，设为true时所有调试行为（包括堆栈输出）默认启用 -
show_error_msg只在app_debug = false时才起作用，且仅控制「是否显示错误摘要」，不是安全屏障 - 如果用了自定义异常处理（比如继承
think\exception\Handle），但没重写render()或report()，依然可能透出堆栈
生产环境必须关闭的两个关键配置
ThinkPHP 5.1+（含 6.x）中，真正决定是否暴露堆栈的是以下两项，缺一不可：
- 在
config/app.php中确保：'app_debug' => false - 同时设置：
'show_error_msg' => false（虽然次要，但能防止某些兜底逻辑误显） - 检查环境变量：如果用了
.env，确认APP_DEBUG=false，它会覆盖 config 文件里的值
注意：ThinkPHP 6 默认通过 .env 控制 APP_DEBUG，config/app.php 里的 app_debug 在有 .env 时基本无效。
立即学习“PHP免费学习笔记（深入）”；
自定义异常处理器仍可能泄密
如果你写了自己的异常处理类（比如 app/ExceptionHandle.php），哪怕 app_debug = false，只要 render() 方法里用了 $e->getTraceAsString() 或直接 dump($e)，堆栈就又出来了。
- 避免在
render()中调用print_r($e)、var_dump($e)、$e->__toString() - 正确做法是返回统一 JSON 或视图：
return response(['msg' => '服务器内部错误'], 500)->header('Content-Type', 'application/json'); - 特别留意日志记录逻辑 ——
report()方法里若把$e->getTraceAsString()写进日志，而日志文件权限又没设好，也可能被下载
验证是否真的隐藏了堆栈
别只看首页是否报错，得主动触发一个异常来测：
- 临时加一行代码：
throw new \Exception('test stack exposure');放到控制器里 - 访问对应接口，检查响应内容：应只有「500 错误」文字或空响应，绝不能出现
in /var/www/html/app/controller/Index.php on line 23这类路径行 - 用
curl -I看响应头，确认没有X-Powered-By: ThinkPHP（可选，但建议关掉）—— 在config/app.php加'http_exception_template' => []并清缓存
最容易被忽略的是缓存没清：改完配置后一定要删掉 runtime/cache/ 和 runtime/container/，否则旧配置还在内存里跑。
