关闭ThinkPHP5调试模式需四步：一、入口文件首行硬编码define('APP_DEBUG', false)；二、清空runtime目录；三、禁止Web访问runtime/log/；四、通过响应头、日志目录及isDebug()方法验证。
关闭 ThinkPHP5 调试模式，核心是彻底禁用 APP_DEBUG 常量，并同步切断所有可能泄露敏感信息的输出通道。只改 config/app.php 中的 app_debug 是无效的，必须从入口文件入手。
一、入口文件硬编码设为 false（最强制、最可靠）
打开项目根目录下的 index.php（TP5 的唯一主入口），确保在 <?php 后第一行、任何 require 或 include 之前，写入：
-
define('APP_DEBUG', false);—— 必须是布尔 false，不能是字符串'false'或数字0 - 检查是否有其他位置重复定义，如
admin.php、api.php等多入口文件，全部改为false或直接删除该行 - 确认前面无空行、BOM、注释或任何输出（包括 UTF-8 BOM 头）
二、清空 runtime 缓存（否则配置不生效）
ThinkPHP5 会把调试相关配置和模板编译结果缓存到 runtime/ 目录，不清理等于没关：
- 执行命令：
rm -rf runtime/*（Linux/macOS）或手动删除runtime下全部内容（含隐藏文件） - 特别注意：
runtime/log/下若仍有sql/或按日期命名的.log文件，说明旧日志未清或 debug 仍在运行 - 重启 Web 服务（如 Nginx + PHP-FPM）后访问，确保页面不再显示右下角 Trace 面板和堆栈信息
三、封死日志目录 Web 访问（防批量下载）
即使 debug 关了，若 runtime/log/ 可被直接 HTTP 访问，攻击者仍可猜路径下载历史日志（含数据库密码、SQL、路径等）：
立即学习“PHP免费学习笔记（深入）”；
- Nginx 配置中加入：
location ~ ^/runtime/.*\.(log|php)$ { deny all; }，然后重载配置 - Apache 下，在项目根目录（非 public 内）加
.htaccess：Deny from all，并确保AllowOverride All已启用 - 更彻底做法：将
runtime目录移出 Web 根目录（如放到/var/www/myapp/runtime/），再在config/app.php中配置'runtime_path' => '/var/www/myapp/runtime/',
四、验证是否真关掉（三步实测）
不能只看代码，必须通过实际请求和系统反馈确认：
- 用 curl 检查响应头：
curl -I http://your-domain/，返回中不应出现X-Powered-By: ThinkPHP - 进
runtime/log/目录执行ls -la，应存在error/子目录，但 不能有 sql/ 目录或大量 debug 日志 - 命令行运行：
php -r "echo \think\App::isDebug() ? 'true' : 'false';"，输出必须是false
