ThinkPHP真实能力清单：开发效率高，30分钟可搭带权限CRUD模块；部署兼容老旧环境，支持PHP 7.2～8.3；但架构耦合深、无自动依赖注入、数据库驱动强绑定、安全机制需手动补全。
想用国产PHP框架快速上线一个后台管理系统，又担心后期维护困难、扩展性差、安全机制薄弱，需要一份不带滤镜的ThinkPHP真实能力清单。
开发效率：30分钟搭出带权限的CRUD模块
执行composer create-project topthink/think myadmin初始化项目，框架自动创建标准MVC目录结构，无需手动配置路由入口或数据库连接文件。
在app/controller/Index.php中写入return db('user')->where('status', 1)->select();，直接返回JSON数据——这一步不需要定义模型类、不用写SQL语句，动态模型机制已默认启用。
使用内置验证器只需在控制器里加一行：$this->validate($data, 'User.add');，验证规则写在app/validate/User.php里，字段名、类型、长度、正则全部声明式定义，错误提示自动转为中文。
立即学习“PHP免费学习笔记（深入）”；
【注意：验证规则必须放在validate目录下且类名与文件名严格一致，大小写敏感】
部署与兼容性：老旧服务器和共享主机都能跑
方法一：直接上传整个public目录到共享主机根目录，修改.htaccess启用PATHINFO模式，http://domain.com/index.php/admin/user/list即可访问。
方法二：若服务器不支持重写，改用兼容模式，在URL后拼接?s=/admin/user/list，所有路由仍可正常解析，【无需修改任何代码】。
ThinkPHP 6.1支持PHP 7.2～8.3全版本，连CentOS 6上老旧的PHP 5.6也能通过手动降级到TP5.1运行——但TP6已彻底放弃PHP5支持。
架构隐患：耦合深、难拆解、改一处牵八处
第一步：打开app/controller/User.php，发现里面混着数据库查询、业务逻辑判断、甚至HTML输出片段。
第二步：尝试把用户积分计算逻辑抽离成独立Service类，需手动新建app/service/UserScore.php，再在控制器里用app\service\UserScore::calc()调用——框架不提供自动服务注册或依赖注入容器。
第三步：当你想把MySQL换成MongoDB时，发现db()方法返回的对象强绑定PDO驱动，所有where、order、join调用都会报错，必须重写全部数据访问层。
这并非语法错误，而是设计选择：ThinkPHP把“快速交付”放在“长期可维护”之前，【核心逻辑与业务代码天然交织，没有强制分层约束】。
安全补丁要自己打：CSRF、XSS、SQL注入不默认拦截
方法一：开启表单令牌，在模板里加{:token()}，控制器用$this->validate($data, 'token')校验——但仅对POST有效，AJAX请求需额外处理。
方法二：手动过滤XSS，在接收参数时套一层htmlspecialchars(input('name'))，或全局配置default_filter为htmlspecialchars——但该配置对数组参数无效，深层嵌套字段仍可能漏掉。
方法三：防御SQL注入不能只靠where()参数化，遇到原生查询db()->query("SELECT * FROM user WHERE id = ".$_GET['id'])这种写法，框架完全不干预。
