PHP框架上线前安全审计需确认：错误显示已禁用（display_errors=Off、APP_DEBUG=false等），日志隔离且脱敏敏感数据，自定义错误处理器全覆盖（包括致命错误），异常转换链无断点（set_error_handler、set_exception_handler、register_shutdown_function均正确注册）。
在PHP框架项目上线前做安全审计时，必须确认错误处理机制不会向攻击者泄露敏感路径、数据库结构或内部类名——这类信息一旦暴露，可直接用于后续漏洞利用。
检查错误信息是否在生产环境禁用显示
打开项目根目录下的 php.ini 或框架专属配置文件（如 Laravel 的 .env），搜索 display_errors 和 error_reporting 两项。
确认 display_errors = Off 已生效，且 error_reporting 值不包含 E_NOTICE 或 E_DEPRECATED 等低级别提示——这些在生产环境开启会导致页面输出大量调试痕迹。
若使用 Laravel，还需检查 APP_DEBUG=false 是否已设置；若为 Symfony，则需验证 kernel.debug=false 在环境配置中生效。【APP_DEBUG=true 时任何未捕获异常都会完整堆栈回显，等同于把源码目录结构和数据库凭证明文摊开】
立即学习“PHP免费学习笔记（深入）”；
验证错误日志是否隔离且不记录敏感数据
定位框架日志配置位置：Laravel 在 config/logging.php，Symfony 在 config/packages/prod/monolog.yaml。
检查日志通道是否写入本地文件（如 storage/logs/laravel.log），而非 stdout 或 syslog——后者可能被容器平台截获并暴露给运维以外人员。
搜索日志内容是否包含用户输入字段（如 $_POST、$_GET）的原始值。若发现类似 "SQLSTATE[HY000]: General error: 1364 Field 'password' doesn't have a default value" 这类含字段名的报错，说明框架未对异常消息做脱敏处理。
手动触发一次数据库字段缺失错误（例如 POST 缺少必填字段），查看生成的日志条目。如果日志里出现完整 SQL 语句或用户提交的手机号、邮箱等内容，必须修改异常格式化逻辑，剥离敏感上下文。
测试自定义错误处理器是否接管所有致命错误
第一步：在控制器中插入 trigger_error('test error', E_USER_ERROR); 并访问对应路由，观察返回是否为 500 页面而非 PHP 原生错误。
第二步：在入口文件 public/index.php 顶部添加 ini_set('display_errors', '1'); set_error_handler(function(){ die('handled'); });，然后访问一个不存在的路由，确认是否进入自定义处理器而非显示 NotFoundHttpException 堆栈。
第三步：执行 php -r "new PDO('mysql:host=127.0.0.1;dbname=test', 'root', 'wrongpass');" 模拟连接失败，检查是否被全局异常处理器捕获并转为统一 JSON 错误响应（如 {"code":500,"message":"Service unavailable"}），而不是抛出含密码明文的 PDOException。
审查异常转换链是否存在断点
方法一：检查是否调用 set_error_handler() 将传统错误转为异常。若未注册该函数，E_WARNING 类错误（如 file_get_contents() 读取失败）将绕过 try-catch 直接输出。
方法二：确认 set_exception_handler() 是否指向框架封装的最终兜底函数，而非空实现或仅记录日志却不终止脚本。遗漏此注册会导致未捕获异常后继续执行后续代码，可能引发二次错误或状态污染。
方法三：查看是否有 register_shutdown_function() 处理致命错误（E_PARSE、E_COMPILE_ERROR）。该函数必须在框架初始化早期注册，否则 autoload 失败等场景无法被捕获——很多审计忽略这点，导致语法错误仍直接暴露在页面上。
