应启用ThinkPHP内置异常处理机制并禁用调试模式：自定义exception.php中的异常处理器，区分AJAX与HTTP请求返回JSON或安全HTML页面，并在.env中设APP_DEBUG=false，配置静态exception_tmpl模板防止信息泄露。
如果您在使用ThinkPHP开发应用时遇到未捕获的异常或错误，系统默认会显示不友好的调试信息，可能暴露敏感路径或配置细节。以下是安全处理异常错误页面的多种方法：
一、启用内置异常处理机制
ThinkPHP提供统一的异常处理入口，通过配置可接管所有未捕获异常，并返回自定义的安全错误页面，避免泄露服务器环境和代码结构。
1、打开应用根目录下的app/exception.php文件（若不存在则新建）。
2、定义一个继承think\exception\Handle的类，重写render方法。
3、在render方法中判断请求类型：如果是AJAX请求，返回JSON格式错误响应；如果是普通HTTP请求，则调用view渲染预设的安全错误模板。
4、确保该异常处理器在app/provider.php中注册，或在app/common.php中通过think\exception\Handle::setRender绑定。
二、配置全局错误模板并禁用调试模式
通过静态模板响应错误，可完全隔离业务逻辑，防止模板中意外执行PHP代码；同时关闭调试模式能阻止敏感变量和堆栈信息输出。
1、将APP_DEBUG设置为false，可在.env文件中修改：APP_DEBUG=false。
2、在config/app.php中配置exception_tmpl选项，指向一个仅含HTML和CSS的静态错误页路径，例如：'exception_tmpl' => app()->getThinkPath() . 'tpl/think_exception.tpl'。
3、创建该模板文件，内容仅包含基础HTML结构与友好提示文字，禁止使用任何标签或变量输出。
三、自定义HTTP状态码响应页面
针对404、500等标准HTTP错误状态，可通过路由或中间件拦截并返回预设的安全页面，避免框架默认错误页暴露框架版本与路径信息。
1、在route/app.php中添加闭包路由匹配404状态，例如：Route::miss(function () { return view('public/404'); });。
2、在app/middleware.php中注册一个全局中间件，在handle方法中检测响应状态码是否为500，若是则替换响应内容为view('public/500')。
3、确保public/404.html与public/500.html模板位于public目录下，且不依赖任何控制器或模型逻辑。
四、日志隔离与错误信息过滤
即使发生异常，也不应将原始错误消息写入前端响应，而应记录到独立日志文件中，并对日志内容进行脱敏处理，防止攻击者利用日志路径反推系统结构。
1、在config/log.php中配置default驱动为file，并指定path为非Web可访问目录，例如：'path' => runtime_path() . 'log/'。
2、在异常处理器的report方法中，调用Log::error前先过滤$exception->getMessage()中的绝对路径、数据库凭证、密钥字符串等关键词。
3、使用str_replace批量替换如__DIR__、$_SERVER['DOCUMENT_ROOT']、DB_PASSWORD等敏感字串为空白或占位符。
五、部署阶段强制清除异常上下文
生产环境中必须确保异常堆栈中不包含源码行号、函数参数值及局部变量快照，这些信息可通过配置项在异常渲染前主动剥离。
1、在config/app.php中设置'show_error_msg' => false，彻底关闭错误消息输出。
2、将'trace' => false加入异常模板配置，确保think_exception.tpl内不解析trace字段。
3、在app/exception.php的自定义处理器中，调用$exception->getTraceAsString()前先清空$exception->getTrace()返回数组中的'args'和'file'键值。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
