ThinkPHP 6.0/8.0 模板注释需在构建阶段主动清理，因默认不解析但会原样输出HTML，存在安全与合规风险；应结合sed脚本剥离、视图配置禁用调试、环境关闭APP_DEBUG，并增加扫描校验。
ThinkPHP 6.0 和 8.0 的模板注释（如 {% raw %}{# 注释内容 #}{% endraw %} 或 {% raw %}{{-- 注释 --}}{% endraw %}）默认不会被引擎解析执行，但它们仍会原样输出到 HTML 中——这在 CI/CD 流水线中可能带来安全、体积或合规风险。实际处理需结合构建阶段主动清理，而非依赖运行时。
明确模板注释类型与生效范围
ThinkPHP 6+ 默认使用 ThinkTemplate 引擎，支持两种注释语法：
-
{% raw %}{# 这是单行注释 #}{% endraw %}：仅在模板编译阶段被忽略，不输出到最终 HTML -
{% raw %}{{-- 这是 Blade 风格注释 --}}{% endraw %}：若项目启用了think-view的 Blade 兼容模式，该语法会被识别为注释；否则可能被当作普通文本输出 - HTML 原生注释
<!-- ... -->：始终输出，不受模板引擎控制
CI/CD 中真正需要干预的是后两者——尤其当模板中混用未识别的注释或开发者误写 HTML 注释时。
在构建阶段自动剥离模板注释
推荐在 CI 流水线的「构建」或「打包」步骤中，用轻量脚本统一清理。例如，在 .gitlab-ci.yml 或 github/workflows/deploy.yml 中加入：
立即学习“PHP免费学习笔记（深入）”；
# 清理所有 .html/.blade.php/.tp5 模板中的 HTML 注释和未识别模板注释
find ./app/view -name "*.html" -o -name "*.blade.php" -o -name "*.tp5" | xargs sed -i '/<!--.*-->/d; /{--.*--}/d; /{#.*#}/d'注意：
- sed -i 在 macOS 需写作 sed -i ''
- 生产环境建议先备份原始模板（如 cp -r app/view app/view.bak）
- 若使用 Docker 构建，可将清理逻辑封装进 Dockerfile 的 RUN 指令
通过视图配置禁用调试注释输出
确保生产环境配置关闭模板调试功能，避免引擎意外保留注释信息：
// config/view.php
return [
'view_path' => './app/view/',
'cache_path' => './runtime/view/',
'layout_on' => false,
'layout_name' => 'layout',
'render_replace' => [],
// 关键：禁用模板调试，防止注释残留或变量打印
'tpl_deny_func_list' => ['echo', 'print', 'var_dump', 'dump'],
'tpl_begin' => '{',
'tpl_end' => '}',
];同时检查 env 文件中 APP_DEBUG=false 已生效，避免开发期注释逻辑被带入生产。
流水线中加入注释残留扫描校验
作为质量门禁，在部署前自动检测是否仍有敏感注释残留：
# 检查是否存在未清理的 HTML 注释或调试标记
if grep -r -q "<!--.*TODO\|FIXME\|DEBUG\|{--\|{#" ./app/view/; then
echo "【ERROR】模板中发现未清理的注释或调试标记！"
exit 1
fi可集成进 SonarQube 自定义规则，或用 php-cs-fixer 扩展插件做模板层 Lint。
不复杂但容易忽略：模板注释不是“写了就消失”，CI/CD 必须把它当成源码的一部分来管理——清理、校验、阻断，三者缺一不可。
