ThinkPHP3.2升级到5.0需重构目录、路由、数据库、模板等，必须满足PHP≥5.4及扩展要求，严格处理权限、命名空间、路由规则、配置拆分、模板调用、DB操作、路由注册、PSR-4自动加载，并同步修复注入、RCE、反序列化等漏洞。
ThinkPHP3.2升级到5.0不是版本号改一改就能跑通的事，而是目录结构、路由机制、数据库访问、模板渲染全部重构，旧代码直接扔进新环境会报Class not found、Fatal error、404或无限重定向，必须同步处理漏洞修复与架构适配。
先确认能否迈过最低门槛
TP5.0要求PHP ≥ 5.4.0（强烈建议≥5.6），且必须启用mbstring、openssl、pdo、json、curl扩展。TP3.2能在PHP 5.3上运行，但TP5.0会直接报错退出。
执行php -v检查CLI版本；用phpinfo()或php -r "echo PHP_SAPI;"确认Web SAPI是否为fpm-fcgi——若CLI是7.4而Web是5.6，迁移后必然白屏。
TP3.2的Runtime/目录默认全开放可写，TP5.0的runtime/必须设为755或775，且【绝不能放在Web可访问路径下】，否则攻击者能直接下载日志或缓存文件。
立即学习“PHP免费学习笔记（深入）”；
绝对不能做的三件事
方法一：不要直接composer require topthink/framework=5.0.*覆盖TP3.2核心——这会导致vendor/autoload.php和ThinkPHP/Library/Think/Think.class.php同时加载，Class 'Think\App'重复定义报致命错误。
方法二：不要把TP3.2的Application/Home/Controller/原封不动复制进TP5.0的app/index/controller/——命名空间从Home\Controller\IndexController变成app\index\controller\Index，少了use语句或命名空间声明就直接500。
方法三：不要沿用TP3.2的URL：index.php?m=Home&c=Index&a=index——TP5.0默认路由是index.php/index/index/index，硬搬旧规则会触发无限重定向或404，且URL_MODEL配置已废弃。
必须重写的五类关键代码
① 配置文件拆分：TP3.2的Conf/config.php是一个大数组，TP5.0必须拆成config/app.php、config/database.php等独立文件，且每份都以return [ ... ];结尾——漏掉return会报Parse error。
② 模板调用：TP3.2的$this->display()在TP5.0中失效，必须显式引入use think\View;或直接写return view('index');——不加use或return会空白页无报错。
③ 数据库操作：TP3.2的M('user')和D('User')全部作废，TP5.0统一用Db::name('user')或模型类app\index\model\User继承think\Model——继续用M()会提示Undefined function M。
④ 路由定义：TP3.2路由写在Conf/config.php里，TP5.0必须移到route/route.php中，用Route::get('hello','index/hello');方式注册——放错位置路由完全不生效。
⑤ 自动加载：TP3.2依赖Lib/和Common/目录手动加载，TP5.0废除该模式，所有自定义类库必须符合PSR-4规范，注册到composer.json的autoload → psr-4中——否则new一个自定义类就Class not found。
漏洞修复必须同步落地
TP3.2.3和TP5.0.24的漏洞类型完全不同：TP3.2.3存在preg_replace /e模板注入和控制器绕过，TP5.0.24存在HTTP方法伪造、反序列化及eval过滤绕过。不能指望升级自动修复，必须人工补漏。
第一步：关闭调试模式——TP3.2.3在Conf/config.php设APP_DEBUG => false，TP5.0.24在app.php或extra/debug.php设app_debug => false，并【立即清空Runtime/Logs/和runtime/log/所有日志文件】——日志泄露是入侵第一跳板。
第二步：阻断RCE入口——TP3.2.3禁用MODULE_ALLOW_LIST，TP5.0.24修改Request.php的method()方法加入HTTP方法白名单（仅GET/POST/PUT/DELETE/PATCH），并在Nginx中加规则拦截/think\app/invokefunction、?s=/index/等特征URI。
第三步：输入过滤加固——所有GET/POST参数必须过白名单：数值型用intval()或filter_var($val, FILTER_VALIDATE_INT)，字符串型用htmlspecialchars() + 正则限定字符集——放过任意用户输入进eval、call_user_func就是给攻击者开后门。
