隐式路由开启时ThinkPHP会将任意路径映射为控制器/方法调用，只要类存在且方法为public即可执行，导致未定义路由仍可触发RCE或敏感操作，需关闭url_route_must并强制访问控制。
隐式路由开启时，ThinkPHP会把任意路径都尝试映射成控制器/方法调用，只要类文件存在、方法是public，就可能被直接执行——这不是“猜接口”，而是框架主动帮你把门打开。
url_route_must=false 时，parseUrl 会无条件 fallback 到隐式解析
ThinkPHP 默认配置 'url_route_must' => false，意味着当路由规则没匹配上时，框架不会立刻 404，而是进入隐式解析流程：把 URL 路径按 / 拆分，第一段当控制器名、第二段当方法名、后续当参数。例如访问 /index.php/user/delete/1，即使你没定义这条路由，只要 User 类存在且 delete 是 public 方法，就会被执行。
- 攻击者不需要知道你写了哪些路由，只需暴力扫
/admin、/user/edit、/index/test这类常见路径 - 隐式解析还会识别反斜杠
\作为命名空间分隔符，导致/index.php?s=index/\think\config/get这类请求被解析为调用\think\config::get，直接触发 RCE（CVE-2018-1002015） - 该行为在
think\Route::parseUrl中实现，不依赖任何路由定义文件，纯框架底层逻辑
public 方法默认全部可访问，没有自动权限拦截
ThinkPHP 不会对控制器中的 public 方法做默认访问控制。哪怕你只在内部调用的 initData、buildCache、exportLog，只要路径能被隐式匹配到，就可能暴露。
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
- 常见误操作：把敏感操作写成 public 方法，仅靠前端按钮隐藏或 JS 跳转，毫无防护意义
- 更危险的是魔术方法：如果控制器没定义
__call，但父类有且是 public，隐式路由可能触发它，造成意外逻辑执行 - 修复方式不是“删掉 public”，而是：强制声明
private或protected；或统一用中间件 + RBAC 校验入口，不依赖方法可见性
Route::miss() 返回 redirect 或 view 就等于告诉攻击者“这个路径不存在，但别的可能行”
很多人加了 Route::miss() 就以为安全了，结果写成 redirect('/404') 或 view('error/404')。HTTP 状态码仍是 302 或 200，响应体里还有 HTML 结构，攻击者用脚本一扫就能区分“真 404”和“假兜底”。
立即学习“PHP免费学习笔记（深入）”；
- 正确做法必须是
abort(404, 'Not Found')，确保状态码为 404、响应体为空或仅含静态字符串 - 注意：
Route::miss()只在url_route_must=true时生效；若配置没开，它根本不会被触发 - 还要确认
config/app.php中'url_common' => false，否则?s=xxx形式仍可绕过路由系统
最易被忽略的一点：隐式路由的漏洞不依赖你写了多少路由规则，而取决于你“没写”的那部分——框架替你补全了。关掉它不是牺牲灵活性，而是把控制权从框架手里拿回来。
