如何禁止ThinkPHP通过模块控制器方法直接访问_路由严格模式强制校验-ThinkPHP-PHP中文网

开启thinkphp路由严格模式需设置'url_route_must'=>true，并清理runtime/route缓存；若仍可访问m/c/a参数url，应在app_init事件中添加输入过滤强制拦截。

如何禁止thinkphp通过模块控制器方法直接访问_路由严格模式强制校验

ThinkPHP 路由严格模式怎么开

默认情况下，ThinkPHP 会把 index.php?m=home&c=user&a=login 这类 URL 当作合法请求，即使你写了路由规则，它也照常执行——这不是“路由没生效”，是根本没进路由匹配流程。要让框架只认你定义的路由、拒绝所有 m/c/a 参数拼接的访问，必须开启路由严格模式。

关键配置在 config/route.php（或 app/config.php 中的 route 配置块）：

return [
    'url_route_must'   => true,  // 必须匹配路由规则才放行
    'url_route_on'     => true,  // 确保路由功能已启用
];

注意：url_route_must 是核心开关，设为 true 后，任何未被路由规则捕获的请求都会直接抛出 HttpException（状态码 404），包括带 m/c/a 的传统 URL。

为什么开了 `url_route_must` 还能访问模块控制器

常见错误是只改了配置，但没清理运行时缓存。ThinkPHP 的路由规则在首次加载后会被编译缓存到 runtime/route 目录下，旧缓存不清理，新配置就不起作用。

实操建议：

删掉 runtime/route/ 整个目录（不是只清空，是删文件夹）
确保没有在 app/middleware.php 或中间件里手动调用 think\App::module() 绕过路由
检查是否在 config/app.php 中设置了 'app_multi_module' => false，单模块模式下 m=xxx 参数本不该生效，但如果路由未严格拦截，仍可能被底层解析

禁用 `m/c/a` 参数的底层动作

仅靠 url_route_must 不够彻底——它拦的是“没匹配到路由”的请求，但如果你的路由规则里用了闭包或动态变量，又或者写了类似 Route::get('user/:id', 'user/read') 这种，框架内部仍可能回退解析 c/a。真正堵死入口，得从参数解析层下手。

在应用初始化阶段（如 app/common.php 或全局中间件中）加一段过滤：

if (input('m') || input('c') || input('a')) {
    throw new \think\exception\HttpException(404, 'Direct module/controller/action access denied');
}

这段代码必须放在路由匹配之前执行（比如注册为 app_init 事件监听器），否则路由已执行完毕，再拦就晚了。它比配置更硬核，但代价是每次请求多一次判断，对性能无实质影响。

兼容性与调试陷阱

开启严格路由后，以下情况会立刻暴露问题：

AJAX 请求里还带着 ?m=api&c=order&a=list —— 改成标准 RESTful 路径，比如 /api/order/list
模板里写死了 url('user/login') 却没定义对应路由规则 —— 生成的 URL 会变成空或报错，必须补全 Route::get('login', 'user/login')
使用 Url::build() 时传入数组参数如 ['m'=>'admin','c'=>'index','a'=>'dashboard'] —— 这种写法在严格模式下会失效，应改为命名路由或规范路径

最容易被忽略的是：url_route_must 对命令行（CLI）请求无效，所以 php think hello 这类指令不会受影响，但 Web 请求全部受控。别在 CLI 场景下测试这个配置。