生产环境必须关闭ThinkPHP的APP_DEBUG，否则会直接暴露数据库密码、文件路径、SQL绑定参数等敏感信息，并导致性能断崖下跌；其关闭非可选而是硬性要求，因APP_DEBUG=true时框架强制输出完整堆栈、$_SERVER/$_ENV变量、禁用所有缓存、注入Trace面板且日志降级为debug级别。
生产环境必须关闭 ThinkPHP 的 APP_DEBUG，否则错误信息会直接暴露数据库连接、文件路径、变量内容甚至 SQL 绑定参数——这不是“可能泄露”，而是只要触发一个 Notice 就立刻发生。
APP_DEBUG=false 为什么不是可选项，而是硬性要求
ThinkPHP 的调试模式不是“多显示几行日志”那么简单。一旦 APP_DEBUG 为 true，框架会：
- 把完整异常堆栈、
$_SERVER、$_ENV、数据库配置（含密码明文）、SQL 语句及绑定值，全部输出到 HTML 响应体中 - 强制模板每次重编译，禁用所有缓存（路由、配置、语言包），导致 QPS 断崖式下跌
- 日志级别降为
debug，且默认写入runtime/log/，若目录不可写会报mkdir(): Permission denied致 500 错误 - Trace 面板自动注入右下角，即使你没配
app_trace，只要APP_DEBUG开着就生效
为什么改了 .env 却没用
.env 中的 APP_DEBUG=false 仅在入口文件未显式定义 APP_DEBUG 常量时才生效。常见失效场景：
- 入口文件
public/index.php顶部写了define('APP_DEBUG', true)—— 此时.env完全被忽略 -
.env文件名写成env或.env.example，或权限为 644 但 Web 用户无读取权 - 用了
php think run启动，但未加载.env（需确认是否执行了think\facade\Env::load()） - 服务器环境变量里设置了
APP_DEBUG=1，覆盖了.env（ThinkPHP 优先读环境变量）
关闭后仍出现 Trace 面板或堆栈怎么办
说明调试逻辑没真正切断。关键检查点：
立即学习“PHP免费学习笔记（深入）”；
- 运行
php -r "var_dump(\think\facade\App::debug());"，返回必须是bool(false)，不是null或0 - 清空
runtime/全目录（不只是cache/），否则旧缓存可能保留调试行为 - 检查
config/trace.php中'type'是否指向自定义类（如NullTrace），避免残留 trace 输出 - 全局搜索项目代码，删掉所有
ini_set('display_errors', '1')、error_reporting(E_ALL)、\think\facade\App::debug(true)
验证是否真关掉了的唯一方法
不能只看页面有没有右下角面板。必须做两件事：
- 故意触发一个错误：访问未定义变量（如
<?php echo $undefined; ?>），浏览器应返回空白页或 500 页面，**绝不能出现堆栈、SQL、路径信息** - 同时检查 PHP 错误日志（
error_log指向路径），确认该错误已落盘，且日志里没有敏感字段（如数据库密码、绝对路径）
最常被跳过的环节是：没清 runtime/，或没验证日志是否真的在写——配置改了，但缓存/进程没重启，等于没关。
