APP_DEBUG=false必须多层确认，因其按.env→config/app.php→入口文件define()优先级合并，仅改一处易被覆盖；残留define('APP_DEBUG', true)会导致App::isDebug()返回true、路由缓存失效、API混入HTML片段，须执行php think env:debug验证真实值并清理所有入口文件及runtime缓存。
APP_DEBUG=false 为什么必须多层确认
ThinkPHP 8 的 APP_DEBUG 不是改一个地方就生效的开关。它按 .env → config/app.php → 入口文件 define('APP_DEBUG', ...) 优先级合并，而框架内部（如路由缓存、异常处理器）只认最终合并值。只改 .env 但入口文件残留 define('APP_DEBUG', true)，会导致 App::isDebug() 返回 true，路由缓存失效，API 响应混入 HTML 片段。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 执行
php think env:debug查看真实值，输出true就必须立刻处理 - 检查
public/index.php第一行 PHP 代码是否为define('APP_DEBUG', false);，且前面无空行、BOM、echo 或注释 - 删掉所有其他入口（如
admin/index.php、think脚本）里的define('APP_DEBUG', ...) - 确认
config/app.php中'debug' => false，避免与.env冲突时被误覆盖
为什么 .env 文件必须从生产环境删除
.env 是开发期配置载体，不是生产部署文件。它若留在线上，且 Web 服务器未禁用访问（如 Nginx 缺少 location ~ /\.env { deny all; }），攻击者直接请求 /.env 就能下载全部数据库密码、Redis 地址、密钥等敏感信息。ThinkPHP 8 不会主动删除它，也不校验其存在性——留着就是风险。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 上线前在部署脚本中加入
rm -f .env（注意不是rm -f .env.*，多环境文件如.env.prod可保留） - Nginx 配置中显式禁止：
location ~ /\.(env|log|git|svn|htaccess) { deny all; } - 检查
runtime/log/下是否有.env被意外写入的日志备份（极少见但发生过）
SQL 查询必须走预处理，否则白关 debug 也危险
关闭 APP_DEBUG 只能隐藏错误页面，不能阻止 SQL 注入。ThinkPHP 8 的查询构造器默认启用预处理（如 $db->where('id', $id)->find()），但若手动拼接 SQL 字符串（如 "SELECT * FROM user WHERE id = {$id}"），或使用 query()/execute() 传入未过滤变量，注入仍可触发，并在日志或数据库报错中暴露表结构。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 全局搜索项目中
->query(、->execute(、DB::query(，确保参数全用占位符，例如Db::query("SELECT * FROM user WHERE status = ?", [$status]) - 禁用原生字符串拼接：在模型或服务类里，把
"WHERE name = '" . $name . "'"改成where('name', $name)或whereRaw('name = ?', [$name]) - 数据库配置中设
'deploy' => 0（集中式）且'params' => [PDO::ATTR_EMULATE_PREPARES => false]，强制底层用真实预处理
响应头和日志里还藏哪些 debug 痕迹
即使 APP_DEBUG=false，若没清理干净，仍有三处泄露风险：一是响应头含 X-Powered-By: ThinkPHP；二是 runtime/log/ 下生成 sql.log 或完整堆栈；三是 LOG_LEVEL=debug 导致敏感变量写入日志。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 用
curl -I http://your-domain.com/api/test检查响应头，出现X-Powered-By表示 debug 未真正关闭 - 清空
runtime/log/并确认config/log.php中'level' => ['error', 'notice']，去掉'debug'和'sql' - 检查
config/database.php中'log' => ['enable' => false]，关闭 ThinkORM 自带 SQL 日志 - 运行
php think clear:route && php think route:cache --annotation强制重建路由缓存，避免旧 debug 路由残留
多环境部署时 APP_ENV 和 .env.* 怎么不踩坑
ThinkPHP 8 默认不读 .env.prod，只读 .env。要启用多环境，必须靠 APP_ENV 环境变量 + 手动加载 vlucas/phpdotenv。常见错误是只设了 APP_ENV=prod 却没在 public/index.php 中调用 Dotenv::createImmutable(__DIR__.'/..', ".env.{$env}")->load();，结果还是加载了 .env 里的开发配置。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 在
public/index.php中require __DIR__.'/../vendor/autoload.php';后插入加载逻辑，且$env必须来自getenv('APP_ENV')，不能硬编码 - 确认
.env.prod是 UTF-8 无 BOM 编码，Windows 记事本保存极易引入 BOM 导致静默失败 - PHP-FPM 下需在 pool 配置中加
env[APP_ENV] = prod，Nginx fastcgi_param 也要透传：fastcgi_param APP_ENV $app_env; - 部署后运行
php -r "var_dump(getenv('APP_ENV'));"验证变量是否真实注入
最易被忽略的是入口文件的 define('APP_DEBUG', false) 是否真的“第一行有效代码”——哪怕前面有一个空格、一个 UTF-8 BOM、一个 // 注释，都会导致 ThinkPHP 回退到 .env 或默认值，让整个安全配置形同虚设。
