ThinkPHP隐藏技巧核心在于模型层readonly字段防护、Nginx/Apache入口文件重写配置、多应用物理隔离、模型敏感字段三重隐藏（$hidden/$visible/field过滤）及事件系统正确注册行为类。
ThinkPHP隐藏技巧大公开！解锁90%开发者都不知道的妙用——不是改配置、不是调API，而是直接在模型层、路由层、事件层做精准拦截与隔离，让敏感字段不透出、入口文件不暴露、核心字段不被篡改、多应用不混杂、行为逻辑不遗漏，每一步都卡在框架真实生效点上。
巧用readonly属性防止核心字段被意外篡改
订单创建时间、软删除标记、数据来源等字段一旦被前端或内部逻辑覆盖，就会导致状态错乱、删除失效、溯源丢失。这不是代码写错，而是没设只读屏障。
在模型类中定义protected $readonly数组，填入数据库列名字符串，如['create_time', 'delete_time', 'source']。
【字段名必须与数据库列名完全一致，包括下划线和大小写】——若数据库字段是create_time，写成createTime或CREATE_TIME，框架将彻底忽略该设置。
立即学习“PHP免费学习笔记（深入）”；
主键id不建议加入$readonly：新增时框架自动跳过主键赋值，加了反而可能干扰UUID生成或自增逻辑。
$readonly仅对save()和update()方法生效，它不是数据库锁，而是数据组装阶段的过滤器；Db::name('user')->update($data)、$model->data($data, true)->save()、动态append字段这三种情况完全绕过。
隐藏入口文件index.php的硬核配置
URL里带index.php既影响SEO又暴露技术栈，但光改url_mode=2根本没用——服务器重写规则没配对，一切白搭。
Apache下确认已启用mod_rewrite模块，并在虚拟主机配置中设置AllowOverride All；项目根目录必须存在ThinkPHP自带的.htaccess文件，内容含RewriteRule ^(.*)$ index.php/$1 [QSA,PT,L]。
Nginx必须在server块中写明location / { try_files $uri $uri/ /index.php?$query_string; }，且fastcgi_param SCRIPT_FILENAME必须指向$document_root/index.php，写成$request_filename会出错。
url_mode仅影响URL生成逻辑，不决定重写是否生效；清除浏览器301缓存后再测试，否则旧重定向会掩盖新配置是否真正起效。
多应用模式物理隔离前台、后台与API
当项目膨胀到需分前台展示、后台管理、API服务三套独立路由与控制器时，多应用模式是最干净的解法——不是靠命名空间模拟，而是目录级物理隔离。
第一步：执行composer require topthink/think-multi-app，安装扩展包；未安装则php think app:create命令报错，后续所有配置无效。
第二步：运行php think app:create admin生成admin应用目录，立即检查app/admin/controller/Index.php、app/admin/route.php、app/admin/config.php是否存在；缺config.php需手动创建并返回['app_namespace' => 'app\admin'];
第三步：在config/route.php末尾追加Route::import('app/admin/route.php', 'admin')，第二个参数'admin'不可省，它绑定路由命名空间，否则访问/admin/index/index会404。
再执行php think app:create api创建API应用，同样导入其route.php并绑定'api'命名空间。
模型敏感字段批量隐藏的三重保险
用户密码、身份证号、盐值等字段不能靠前端过滤，必须在模型序列化出口处堵死——但只写$hidden = ['password']远远不够，容易漏场景、绕过过滤、误伤关联数据。
方法一：静态声明$hidden，仅对当前模型原始字段生效，字段名必须与数据库列名严格一致（区分大小写），且不作用于with()预载入的关联模型字段。
方法二：改用$visible白名单，如protected $visible = ['id', 'username', 'email']；它比$hidden优先级更高，空数组[]表示不返回任何字段，不是返回全部。
方法三：查询阶段就砍掉字段最干净——先获取全部字段：$allFields = (new UserModel())->getSchema()['fields'] ?? []；再读配置排除：UserModel::field(array_diff($allFields, config('api.hidden_fields', [])))->select()。
【永远别直接json_encode($user)，这完全跳过$hidden和模型序列化流程】——必须用$user->toJson()或$user->toArray()才能触发过滤。
事件系统与行为扩展的注册验证法
想在应用初始化时插入权限校验或日志记录，却始终没触发？不是代码写错，而是行为类没被框架真正加载进监听器队列。
在app/tags.php中返回关联数组，键为事件名（如'app_init'），值为行为类全名组成的数组：return ['app_init' => [App\Behavior\CheckAuthBehavior::class]]；文件结尾必须有分号，且不能有任何输出语句。
行为类必须放在app/behavior/CheckAuthBehavior.php，命名空间为App\Behavior，类名为CheckAuthBehavior，且必须有public无参run()方法。
验证是否注册成功：在任意控制器方法中dump(\think\Hook::getListeners('app_init'))；若返回空数组，先查CONF_PATH是否指向正确配置路径，再确认app/tags.php权限是否允许Web服务器读取。
