Yii2的Debug模块生产环境禁用，因其暴露数据库查询、路径、变量等敏感信息，且仅靠allowedIPs防护薄弱；应彻底移除模块注册并叠加Web服务器层屏蔽。
Yii2 的 Debug 工具（yii2-debug） 默认仅在开发环境启用，但若部署到生产环境时未正确禁用，会直接暴露数据库查询、环境变量、请求参数、会话内容等敏感信息，造成严重安全风险。
确认 debug 模块是否仍在运行
访问 /debug 或任意页面右下角的 debug 面板浮层，即可直观判断。更可靠的方式是检查入口脚本中是否仍注册了 debug 模块：
- 查看
web/index.php是否包含if (YII_ENV_DEV) { ... Debug::init() ... }类似逻辑 - 检查
config/web.php中modules配置项是否在所有环境下都注册了'debug' => 'yii\debug\Module' - 运行
php yii serve本地测试时，注意YII_ENV实际值（可通过echo YII_ENV;验证）
强制禁用 debug 模块（生产环境标准做法）
最稳妥的方式是**完全移除 debug 模块注册**，而非依赖环境判断。在生产环境的配置文件（如 config/web-production.php 或部署时覆盖的主配置）中：
- 删除或注释掉
'debug' => [...]整行配置 - 确保
bootstrap数组中不包含'debug' - 若使用条件加载（如
YII_ENV_DEV ? [...] : []），务必验证该表达式在生产服务器上确实为false（常见坑：服务器 PHP 配置中$_SERVER['YII_ENV']未设或被覆盖）
额外加固措施
即使 debug 模块已禁用，也建议叠加防护，防配置遗漏或缓存残留：
- 在 Web 服务器层屏蔽访问：Nginx 中添加
location /debug { deny all; }；Apache 中用<Location "/debug"> Require denied </Location> - 检查是否误将
YII_DEBUG = true写入生产环境的.env或入口脚本，该常量开启后会强制启用调试模式 - 部署后执行
php yii cache/flush-all清理配置缓存，避免旧配置残留
上线前必查清单
每次发布生产版本前快速核对：
-
YII_ENV值为'prod'或'production'（非'dev'） -
YII_DEBUG常量未定义，或明确设为false - 配置文件中无
'debug' =>模块声明 - Web 服务器返回
403或404而非 debug 页面（手动请求/debug/default/view?panel=logs测试）
