TP6.1中render()返回空页因未返回Response实例，须用response()包裹view并设状态码；API请求需主动拦截并返回JSON；自定义异常需正确继承和配置$dontReport；生产环境须手动过滤敏感信息。
render() 返回空页面是因为没返回 Response 实例
升级后 render() 方法突然不渲染 HTML，浏览器返回空白页或下载文件，核心原因是 TP6.1 强制要求该方法必须返回 Response 实例，而旧写法如 return view('error', $data) 只返回字符串，框架直接忽略输出。
必须用 response() 包裹视图，并显式设状态码：
public function render(Request $request, Throwable $e): Response
{
if ($e instanceof CustomException) {
return response(view('common/error', [
'msg' => $e->getMessage(),
'code' => $e->getCode()
]), 400);
}
return parent::render($request, $e);
}
- 漏掉
response()→ 浏览器收不到Content-Type，可能触发下载行为 - 不设状态码 → 默认 200，前端无法区分成功与失败
- 在 CLI 环境下调用
view()会报错，建议加if (!$request->isAjax() && !app()->runningInConsole())安全判断
API 请求被绕过，JSON 错误不走自定义逻辑
$request->expectsJson() 是识别 API 请求最可靠的方式，但默认情况下 TP6 的内置逻辑会在它之前就将 JSON 请求转为 json() 响应，导致你的 render() 根本不执行。
必须在 render() 开头主动拦截并接管：
立即学习“PHP免费学习笔记（深入）”；
public function render(Request $request, Throwable $e): Response
{
$isJson = $request->expectsJson() || $request->header('X-Requested-With') === 'XMLHttpRequest';
if ($isJson) {
$statusCode = $e instanceof HttpException ? $e->getStatusCode() : 500;
return json([
'code' => $statusCode,
'msg' => app()->isDebug() ? $e->getMessage() : '服务异常',
'data' => []
])->code($statusCode);
}
// 后续 HTML 渲染逻辑
}
- 别依赖 URL 后缀或路由分组判断是否为 API —— 容易被绕过且不符合 REST 原则
- 生产环境务必屏蔽敏感信息，
app()->isDebug()要作为开关，不能只靠app_debug配置 - 验证失败（
ValidateException）也属于 API 异常，需一并纳入此分支处理
自定义异常类没被正确捕获，仍跳默认错误页
写了 AppException 继承 HttpException，但抛出后还是进默认错误页，常见原因有两个：一是继承链不对，二是被 $dontReport 或 shouldReport() 过滤掉了。
确保以下三点同时满足：
- 自定义异常必须继承
\think\Exception或至少\Exception，不要继承\Error类型 - 在
app/exception/Handler.php中，把类加进$dontReport = [AppException::class]，否则会被当成需上报错误，触发日志+页面双路径 - 重写
shouldReport()：当$exception instanceof AppException时返回false，避免干扰日志排查
生产环境仍暴露 SQL、路径等敏感信息
app_debug = false 只控制是否显示调试页面，不自动脱敏异常内容。真正起作用的是 config/app.php 中的 'show_error_msg' => false（TP6.1+ 支持），以及你在 render() 里是否手动裁剪。
必须在 render() 中对生产环境做字段过滤：
- 删掉
$e->getTraceAsString()，不传堆栈 - 过滤
$e->getFile()和$e->getLine()，只保留$e->getMessage() - 消息内容建议映射为用户友好提示（如“订单不存在”而非“SQLSTATE[42S02]: Base table or view not found”）
最易被忽略的是：即使关了 app_debug，只要 render() 里还直接 echo 或 return 原始异常信息，敏感字段就照出不误。
