ThinkPHP 5.0 部署后，必须将 Web 服务器根目录严格指向 public/ 目录，确保 application/、runtime/、thinkphp/ 等敏感目录不可通过 URL 访问；同时设置 application/ 目录权限为 750、配置文件为 640，禁用 APP_DEBUG 并移除调试残留，辅以 Nginx/Apache 层路径拦截作为纵深防御。
ThinkPHP 5.0 部署后，配置文件（如 database.php、config.php、app.php）直接关系到数据库凭证、密钥、调试开关等敏感信息，必须防止被 Web 直接访问或意外泄露。安全保护的核心是「物理隔离 + 权限控制 + 运行时加固」三重手段，而非仅靠代码逻辑。
确保配置文件不在 Web 可访问路径下
TP5.0 标准结构中，application/ 目录应位于 public/ 同级且不可通过 URL 访问。这是最基础也是最关键的防线：
- 确认 Web 服务器根目录（如 Nginx 的
root或 Apache 的DocumentRoot）指向的是public/目录，而非项目根目录 - 若误将整个项目放在 Web 根下（例如
/var/www/html/your-project/），则application/database.php可能被直接请求并返回明文内容——此时浏览器访问https://yoursite.com/application/database.php就会暴露密码 - 虚拟主机环境下，务必按官方建议调整入口文件：只保留
public/index.php为唯一入口，其他所有目录（application、runtime、thinkphp）必须在 Web 根目录之外或明确禁止访问
设置严格的文件与目录权限
Linux/Unix 环境下，权限不当是生产环境常见风险点：
-
application/目录及其子文件（尤其是database.php）应设为640（所有者可读写，组可读，其他用户无权限）；目录本身设为750 - 运行 PHP 的用户（如
www-data或nginx）应属于该目录所属组，且不赋予 shell 权限 - 绝对禁止使用
777或让other有读权限 —— 宝塔等面板用户常在此处疏忽，需手动检查 - 若用宝塔面板，可在「文件」管理中右键点击
application→「权限设置」→ 取消勾选「其他用户」的「读取」
禁用调试模式并移除调试残留
即使配置文件物理安全，开启调试仍可能通过错误页面、日志或路由参数间接泄露路径和内容：
立即学习“PHP免费学习笔记（深入）”；
- 检查
application/config.php中'debug' => false（非注释，必须显式设为false） - 检查
public/index.php中是否还存在define('APP_DEBUG', true)—— 必须删除或注释掉整行 - 删除项目中任何名为
extra/debug.php或runtime/debug/的残留调试配置或目录 - 验证方式：在浏览器访问
/index.php?s=/index/test/&debug=1，应返回 404 或空白页；若显示 SQL 语句、数据库名、runtime/log/路径，则未生效
补充防护：Web 服务器层屏蔽敏感路径
作为纵深防御，可在 Nginx 或 Apache 中主动拦截对配置目录的非法访问：
- Nginx 示例（加入 server 块）：
location ~ ^/(application|thinkphp|runtime)/ { deny all; } - Apache 示例（放入
.htaccess或虚拟主机配置）：<directory> Require all denied </directory> - 注意：此规则不能替代前序措施，仅作兜底；若已正确设置 Web 根目录，这类规则实际不会被触发
