禁用ThinkPHP自动路由需清空url_controller_layer和url_action_layer、启用url_route_on并设url_route_must为true、添加Route::any('*')兜底规则；测试/?c=Index&a=index及未定义路由均应404。

要禁用 ThinkPHP 的自动路由机制、防止控制器方法被未授权直接访问，核心不是“关掉路由”，而是关闭默认调度入口 + 强制走显式路由 + 设置兜底拦截。默认情况下，即使你没写任何路由规则，?c=Index&a=index 或 /index/index 这类 URL 依然能调通——这不是路由在工作，是框架的兼容调度器在兜底。

关闭控制器/操作层参数解析

这是堵住 c/a 参数绕过路由的关键一步。在 config/app.php 中设置：

• 'url_controller_layer' => ''（清空控制器层标识）
• 'url_action_layer' => ''（清空操作层标识）
• 这两项设为空字符串后，?c=User&a=delete 就完全失效，无法再通过 GET 参数触发控制器

开启强制路由模式

确保所有请求必须匹配已定义的路由规则，否则直接 404：

Skill Weave Chains — 技能链路由引擎

开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。

下载

• 在 config/route.php 中设置 'url_route_must' => true
• 同时确认 'url_route_on' => true 已启用（ThinkPHP 6 默认为 false）
• 注意：url_route_must 只对路由模式生效，若 url_model 是 0（普通模式），该配置不生效

添加全局兜底路由拦截

哪怕前面都配对了，漏掉一条路由仍可能让请求落到控制器。最稳妥的做法是在路由文件末尾加兜底规则：

立即学习“PHP免费学习笔记（深入）”；

• 在 app/route/app.php 最底部加入：
  Route::any('*', function () { return abort(404); });
• 这条规则必须放在所有业务路由之后，确保无匹配时绝不进入控制器
• 它不依赖中间件，也不受缓存影响，是最后一道硬性屏障

验证是否生效的简单方法

改完配置后，做两个测试：

• 访问 /index.php?c=Index&a=index → 应返回 404 或报错（不再执行控制器）
• 访问一个你没定义的路由，如 /api/unknown → 也应返回 404，而不是进到某个默认控制器
• 如果任一测试仍能访问成功，检查是否漏清路由缓存：php think route:clear