生产环境必须关闭ThinkPHP错误显示：入口文件强制define('APP_DEBUG', false)，禁用PHP display_errors，清理响应头X-Powered-By，关闭SQL日志，runtime目录移出Web根目录。
ThinkPHP生产环境关闭错误显示，核心目标是防止敏感信息（如数据库结构、SQL语句、文件路径、堆栈详情）通过页面直接暴露。这不是单点开关，而是多层协同的配置闭环。
入口文件强制关闭APP_DEBUG
这是最可靠、最高优先级的操作：
- 打开 public/index.php，确保第一行有效 PHP 代码就是
define('APP_DEBUG', false); - 该行前面不能有空行、BOM、注释、echo 或任何输出；后面不能被其他 define 覆盖
- 检查所有其他入口：admin/index.php、think 命令行脚本、API 独立入口等，删掉其中任何
define('APP_DEBUG', ...) - 执行
php think env:debug验证真实值，输出 false 才算生效 - 清空
runtime/全目录：rm -rf runtime/*，否则旧缓存会干扰新配置
PHP底层错误显示必须禁用
ThinkPHP 的 APP_DEBUG 只控制框架层渲染，不干预 PHP 自身错误输出。若未关，仍可能白屏或泄露：
- 确认 php.ini 中
display_errors = Off（生产环境严禁 On） - 验证命令：
php -i | grep display_errors，输出应为display_errors => Off - Nginx/Apache 不得覆盖该设置；如需临时调试，仅对运维 IP 白名单开启（例如 Nginx 中用 if 判断 remote_addr）
- 禁止在代码中写
ini_set('display_errors', '1')—— 若文件本身语法错误，这行根本不会执行
响应头与调试痕迹同步清理
即使错误不显示，残留的调试标识也会暴露技术栈，给攻击者提供线索：
立即学习“PHP免费学习笔记（深入）”；
- 用 curl 检查接口响应头：
curl -I https://yoursite.com/api/test - 确认返回中不含
X-Powered-By: ThinkPHP或X-Powered-By: PHP/... - 若存在，说明 APP_DEBUG 未真正关闭，或中间件/钩子仍在注入头信息
- 同时设
expose_php = Off（php.ini），隐藏 PHP 版本
日志策略配合脱敏与路径隔离
错误不显示 ≠ 错误不记录。日志若配置不当，反而成为新的泄露渠道：
- 修改
config/log.php，'level' => ['error', 'notice']，**绝对不要包含 'sql' 或 'debug'** - 检查
config/database.php，确保'log' => ['enable' => false] - 将
runtime/目录移出 Web 根目录（如部署为/var/www/myapp/，Web root 指向public/，runtime 放同级），彻底阻断 URL 直接访问可能 - 启动时用
is_writable(config('log.path'))主动校验日志路径可写性，失败即终止，避免静默丢日志
