CodeIgniter隐藏敏感路由的核心方法有四：一是404覆盖，不注册高危路径路由并关闭自动路由；二是动态路由+会话校验+文件级拒绝三层拦截；三是用HTTP方法限定（如仅DELETE/POST）替代路径暴露；四是重写入口统一代理敏感请求并前置多重校验。
在CodeIgniter中隐藏敏感路由，核心目标是防止未授权用户通过猜测URL访问管理后台、API调试端点或数据库导出接口等高危路径。直接暴露这些路由会绕过登录验证和权限检查，导致数据泄露或系统被篡改。
用404覆盖替代真实控制器映射
将敏感功能的控制器方法不注册任何公开路由，仅保留内部调用能力。例如，管理员导出日志的功能写在 Admin_logs::export() 中，但不在 routes.php 里声明任何对应URI。
访问 /admin/export-logs 时自动返回404页面，连是否存在该控制器都不会暴露。
【必须关闭自动路由】 否则 CI3 的 $config['enable_query_strings'] = FALSE + 自动路由可能让 ?c=Admin_logs&m=export 方式绕过限制；CI4 则需确认 $routes->setAutoRoute(false) 已启用。
动态路由+会话校验双重拦截
对确实需要暴露但仅限特定角色访问的路径（如 /api/internal/status），采用“路由注册 → 控制器前置校验 → 文件级拒绝”三层防护：
第一步：在 routes.php 中注册该路由，但指向一个专用代理控制器：$routes->get('/api/internal/status', 'Proxy::check_and_serve');
第二步：在 Proxy 控制器的 check_and_serve() 方法开头强制校验：if (!$this->session->has('is_admin') || $this->session->get('is_admin') !== true) { show_404(); }
第三步：在 public/api/internal/ 目录下放置 .htaccess，内容为：
RewriteEngine On<br>RewriteCond %{REQUEST_FILENAME} -f<br>RewriteRule ^.*$ - [F,L]这确保即使有人绕过PHP层直接请求文件，Apache也会返回403 Forbidden。
用HTTP方法限定代替路径隐藏
方法一：将敏感操作绑定到非GET方法，再配合前端禁用常规链接
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
比如删除用户不设 /user/delete/123 这样的GET路由，只保留：$routes->delete('/api/v1/user/(:num)', 'User::destroy/$1');
前端必须用AJAX发送DELETE请求，浏览器地址栏无法直接触发。
方法二：为同一URI配置多方法路由，但不同方法执行完全不同逻辑
$routes->post('/task/trigger', 'Cron::run_now');<br>$routes->get('/task/trigger', 'Welcome::index');用户在浏览器输入
/task/trigger 看到的是首页，但运维脚本用curl -X POST调用时才真正执行定时任务。
注意：此法依赖客户端正确发送HTTP方法，不能替代身份验证，仅作混淆增强。
重写入口统一代理所有敏感请求
第一步：在 public/.htaccess 中添加规则，将所有含 /secret/ 或 /internal/ 前缀的请求强制重写到单一入口：
RewriteCond %{REQUEST_URI} ^/(secret|internal)/ [NC]<br>RewriteRule ^(.*)$ index.php?proxy_route=$1 [QSA,L]
第二步：修改 app/Controllers/BaseController.php，在构造函数中捕获该参数：
if (isset($_GET['proxy_route'])) {<br> $this->block_unauthorized_access();<br> exit($this->serve_protected_resource($_GET['proxy_route']));<br>}
第三步：实现 block_unauthorized_access()，检查IP白名单、会话状态、甚至二次验证码token，任意一项失败即终止响应。
这样所有敏感路径都不再有真实路由映射，连CI的路由解析器都接触不到原始URI，攻击者无法通过错误提示反推控制器结构。
