ThinkPHP禁止直接访问控制器需同时设置url_route_must=true、url_controller_layer=''、url_action_layer=''，否则fallback机制仍允许/index/index或?c=Index&a=index等URL访问。
ThinkPHP 默认路由还能访问，是因为框架底层存在「默认调度 fallback 机制」，它和你写的 Route::get() 路由无关，也不受 url_route_must 控制——只要没彻底关掉控制器层解析，/index/index、?c=Index&a=index 这类 URL 就永远能通。
为什么 url_route_must = true 还拦不住直接访问
强制路由只对「路由模式匹配流程」起作用，而 ThinkPHP 的请求分发分两步：
- 第一步：Web 服务器把请求交给
index.php（这步谁都拦不住） - 第二步：框架内部判断——如果路由没匹配上，且
url_controller_layer和url_action_layer仍为非空字符串（如默认的'controller'和'action'），就会退回到 PATH_INFO 解析逻辑，自动拆出模块/控制器/方法
也就是说：url_route_must = true 只让「没定义路由的路径」404，但不阻止「带完整控制器名的路径」被解析。真正要禁用直连，必须同时清空这两个配置项：
-
url_controller_layer设为空字符串（不是null或false） -
url_action_layer同样设为空字符串 - 确保
url_route_on = true，否则整个路由系统不启动
?c=Index&a=index 这种 URL 是怎么活下来的
这是 ThinkPHP 的传统 GET 参数调度入口，优先级低于路由，但高于 404。它在 think\App 的 dispatch 流程中被显式处理，只要 url_controller_layer 没被清空，框架就会尝试从 $_GET['c'] 和 $_GET['a'] 中提取控制器与方法名。
Skill Weave Chains — 技能链路由引擎
下载
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
立即学习“PHP免费学习笔记（深入）”；
- 即使你写了
Route::any('*', fn() => abort(404))，它也拦不住这种参数式访问 - Apache/Nginx 的重写规则（如
.htaccess）对 query string 无效，无法靠服务器层屏蔽 - 唯一可靠方式：在配置中把
url_controller_layer和url_action_layer都设成''，并确认没有中间件或钩子手动 new Controller
检查默认控制器是否真被路由接管了
很多人以为加了 Route::get('/', 'Index/index') 就万事大吉，其实不一定生效：
- 路由文件位置错：ThinkPHP 6+ 默认读
route/app.php，不是config/route.php - 缓存没清：改完路由必须运行
php think route:clear，否则旧规则还在内存里 - 大小写陷阱：Linux 下
Index/index和index/index是两个控制器，命名空间和文件名必须完全一致 - 多应用漏配：如果你有
app/admin，那app/admin/route.php里的Route::get('/', ...)只对/admin/前缀生效，主域名根路径仍走主应用路由
最常被忽略的一点：url_route_must 开启后，首页 / 必须显式定义路由，否则直接 404——没人会想到「首页」也需要被路由规则覆盖，但它确实是强制模式下的第一个漏网之鱼。
