ThinkPHP开启调试模式必须在入口文件最顶部用define('APP_DEBUG', true)硬编码启用，关闭则须设为false并彻底清空runtime缓存；线上不关闭等于直接暴露数据库结构、SQL语句和服务器路径等敏感信息。
ThinkPHP开启调试模式必须在入口文件顶部用 define('APP_DEBUG', true) 硬编码启用，关闭则必须改为 false 并彻底清空缓存；线上环境不关调试，等于把数据库结构、SQL语句、服务器路径等敏感信息直接暴露给攻击者。
开启调试模式：只认入口文件这一行
无论 ThinkPHP 5/6/8 哪个版本，唯一可靠方式是修改入口文件（TP5 是根目录 index.php，TP6/8 是 public/index.php）最顶部：
-
必须紧贴
<?php后第一行，前面不能有空行、BOM、注释或任何输出 - 写成
define('APP_DEBUG', true);—— 字符串'true'、数字1、大小写错误全无效 - 多入口场景（如
admin.php、api.php）每个都要单独加 - 加完后立即执行
rm -rf runtime/*或php think clear
上线前必须关闭的三件事
光改 APP_DEBUG 不够，还要同步处理以下环节，否则仍可能泄露敏感信息：
- 入口文件中
define('APP_DEBUG', false);必须置顶且唯一，删掉其他所有位置的同类定义（包括命令行think脚本、后台入口、中间件里动态设置） - 禁用 Trace 面板：修改
config/trace.php，把'type'设为空字符串或false；或创建空类app/common/trace/NullTrace.php并指向它 - 收紧日志配置：
config/log.php中'level'只保留['error', 'notice']；config/database.php中确保'log' => ['enable' => false]
上线前验证是否真关掉了
不能只看代码改没改，要实测确认：
立即学习“PHP免费学习笔记（深入）”；
- 用
curl -I http://your-domain/v1/health检查响应头，确认没有X-Powered-By: ThinkPHP - 进
runtime/log/目录执行ls -la，应存在error/子目录，但不应有sql/或大量 debug 日志 - 运行
php -r "echo \think\App::isDebug() ? 'true' : 'false';"，输出必须是false
别漏掉 PHP 底层和 Web 服务器
即使框架关了调试，PHP 或 Nginx 还可能把错误吐出来：
- 确认
php.ini中display_errors = Off，且入口文件里没残留ini_set('display_errors', '1') - Nginx + PHP-FPM 环境下，检查
fastcgi_params是否含fastcgi_intercept_errors on;—— 必须设为off，否则 Nginx 会吞掉错误页反而出 502 - Docker 或共享主机常见问题：镜像默认关闭
display_errors，需通过PHP_INI_SCAN_DIR或启动参数注入修正
