在thinkphp8中开启强制路由以防止未定义控制器访问，需要在应用配置文件中将 url_convert 设置为 false，并在路由定义中使用 route::rule() 或 route::get/post/put/delete() 等显式方法注册路由。这样系统会严格匹配已定义的路由规则，任何未匹配的路径都会返回404错误，从而避免直接调用未定义的控制器或方法。
如何配置全局路由模式为强制模式？
要启用强制路由模式，需修改 config/route.php 配置文件中的 url_convert 参数。将其值设为 false 后，框架将不再自动解析URL路径为控制器和方法，而是仅响应在 route/app.php 中明确定义的路由。这一设置是防止未定义控制器访问的基础，确保所有请求必须经过路由层过滤。
\think\facade\Config::set([
'app' => [
'url_convert' => false,
],
]);
上述代码展示了如何在运行时动态设置 url_convert 为 false。执行后，若访问一个未在 route/app.php 中定义的路径，如 /index/test，系统将抛出异常或返回404，而不是尝试寻找对应的控制器类。这有效阻止了潜在的安全风险，如通过猜测URL路径访问敏感功能。
立即学习“PHP免费学习笔记（深入）”；
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
如何定义具体路由规则以替代默认控制器？
在强制路由模式下，开发者必须在 route/app.php 中为每个需要访问的页面定义路由规则。例如，使用 Route::get('home', 'Index/index') 将 /home 路径映射到 Index 控制器的 index 方法。这种显式映射确保了只有预定义的路径才能被访问，其他路径均被拒绝。
use think\facade\Route;
Route::get('home', 'Index/index');
Route::post('login', 'Auth/login');
Route::any('api/data', 'Api/getData');
以上代码片段定义了三个路由规则：GET请求到 /home 指向 Index/index，POST请求到 /login 指向 Auth/login，以及任意HTTP方法到 /api/data 指向 Api/getData。这些规则覆盖了常见操作，同时排除了未定义的控制器的访问可能性。若尝试访问 /unknown，由于没有对应路由，系统将返回404。
当访问未定义路由时系统返回什么状态码？
在强制路由模式下，如果用户访问一个未在 route/app.php 中定义的路径，如 /nonexistent，系统将返回HTTP 404 Not Found状态码。这是因为框架无法找到匹配的路由规则，且由于 url_convert 为 false，它不会回退到默认的控制器解析机制。这一行为确保了未授权或未预期的访问被明确拒绝，提升了应用的安全性。
