ThinkPHP本身不提供防火墙功能，服务器防火墙需用ufw/firewalld/iptables配置端口规则，应用层IP控制应通过中间件实现白名单校验，并配合PHP-WAF扩展做请求内容过滤，三者分层协同防护。
ThinkPHP 本身不是防火墙，也不内置网络层防火墙规则管理能力；所谓“ThinkPHP 配置防火墙规则”，实际是两件事：一是在服务器系统层面配置 firewalld、ufw 或 iptables，放行或限制端口；二是利用 ThinkPHP 的中间件或路由机制，在应用层做 IP 白名单、请求特征拦截等逻辑控制。
Linux 系统防火墙怎么配（Ubuntu/Debian 用 ufw）
ThinkPHP 应用跑在 Web 服务上，必须先确保系统防火墙允许访问对应端口。Ubuntu 默认用 ufw，别直接改 iptables —— 容易冲突且不持久。
-
sudo ufw default deny incoming：默认拒绝所有入站连接，只开明确需要的 -
sudo ufw allow 22/tcp：SSH 端口，建议后续再加源 IP 限制（如sudo ufw allow from 203.0.113.5 to any port 22） -
sudo ufw allow 80,443/tcp：HTTP/HTTPS 流量，Web 服务必需 -
sudo ufw enable：启用后立即生效，无需重启服务 -
sudo ufw status verbose：检查是否真生效，注意输出里Status: active和规则方向
如果应用监听非标端口（比如 8080），而你用 Nginx 反代，那 ufw 不需要放行 8080 —— 只要 Nginx 能连通本机即可，外网流量仍走 80/443。
ThinkPHP 怎么做 IP 层访问控制（中间件方式）
路由文件 route.php 里不能直接获取客户端真实 IP 并做拦截，因为请求上下文未初始化；必须用中间件。重点在于：如何拿到真实 IP，而不是 127.0.0.1 或代理地址。
立即学习“PHP免费学习笔记（深入）”；
- 确认 Web 服务器已透传真实 IP：Nginx 要加
proxy_set_header X-Real-IP $remote_addr;，Apache 用RemoteIPHeader X-Real-IP - 中间件中用
request()->ip()获取，但更稳妥的是request()->header('x-real-ip', request()->ip()) - 白名单示例（
app/middleware/IpWhitelist.php）：
public function handle($request, \Closure $next)
{
$allowed = ['192.168.1.100', '203.0.113.20'];
$clientIp = $request->header('x-real-ip', $request->ip());
if (!in_array($clientIp, $allowed)) {
return response('Forbidden', 403);
}
return $next($request);
}
注册到路由组或全局中间件时，注意它对静态资源（如 /static/xxx.js）也生效 —— 若有 CDN 或监控探针访问，得把它们的出口 IP 加进白名单。
PHP-WAF 扩展怎么加 SQL/XSS 规则（非中间件方案）
如果你需要在 PHP 解析请求前就拦截恶意参数（比如绕过中间件的 $_GET 注入），可装 php-waf 扩展。但它不依赖 ThinkPHP，是 PHP 内核级过滤，规则写错会导致整个站点 500。
- 规则文件必须放在
/etc/php-waf/rules/（路径以你安装时为准），后缀为.rule - 每条规则独占一行，
id必须全局唯一，重复会静默失效 - 最简可用规则示例（防基础 union 注入）：
SecRule ARGS "@rx (?i)union\s+select" "id:1001,deny,status:403,msg:'SQLi detected'"
改完规则后必须执行 sudo systemctl restart phpwaf（不是 php-fpm）；否则日志里看不到错误，但规则压根不加载。查日志用 tail -f /var/log/phpwaf/error.log，比反复 curl 更可靠。
为什么不能只靠 .env 里的 APP_DEBUG=false 来“防攻击”
关掉调试模式只是隐藏错误详情，不阻止任何攻击行为。它解决的是信息泄露问题，不是访问控制或输入过滤。
-
APP_DEBUG=false后，500错误会变成通用提示，但 SQL 注入、XSS 依然能执行 - 真正起作用的是：中间件 IP 控制 +
default_filter配置 + ORM 参数绑定 + 模板输出转义（{:htmlspecialchars($x)}） - 最容易被忽略的是 Nginx/Apache 层没设好
X-Real-IP头 —— 导致中间件拿到的永远是127.0.0.1，白名单形同虚设
系统防火墙管端口进出，PHP-WAF 管请求体内容，ThinkPHP 中间件管业务逻辑入口，三者不在同一层，也不能互相替代。漏掉任意一层，都可能让防护出现缺口。
