ThinkPHP项目安全加固教程-ThinkPHP-PHP中文网

thinkphp 8.1+ 安全加固需强制启用 security_mode：执行 php think version 确认 ≥8.1.0，运行 composer update topthink/framework:^8.1，将 config/app.php 中 'security_mode' => false 改为 true，并清空 runtime/cache/ 目录。

thinkphp项目安全加固教程

ThinkPHP 项目安全加固不是配置几个开关就能收工的事，核心是堵住四个可被链式利用的入口：Web 服务器暴露的敏感目录、框架动态调用链（如 call_user_func_array）、模板引擎执行能力（尤其是 {php} 类标签）、以及 SQL/XSS 的输入输出通道。低于 8.1 的版本连基础对抗 AI 驱动载荷的能力都没有，升级是硬门槛。

如何确认并强制启用 ThinkPHP 8.1+ 的安全模式

ThinkPHP 8.1 是分水岭版本，内置上下文感知过滤和模板沙箱；低版本即使打补丁也防不住 2026 年新型 RCE 载荷。

执行 php think version 查看当前版本，输出必须是 8.1.0 或更高；8.0.9 不行，8.1.0-beta 也不行
运行 composer update topthink/framework:^8.1，注意末尾的 ^8.1 —— 写成 ^8.0 或漏掉 ^ 会导致降级或不动
编辑 config/app.php，将 'security_mode' => false 改为 true；该配置不启用时，__invoke 反射和 call_user_func_array 动态调用仍可被利用
改完后清空 runtime/cache/ 目录，否则配置可能被缓存绕过

为什么 .htaccess 或 Nginx location 规则总失效

不是规则写得不对，而是放错位置或匹配优先级被覆盖。ThinkPHP 的敏感目录（application、config、runtime）必须在 Web 根目录（即含 public 和 application 的那层）设防，放 public/.htaccess 等于没设。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

Apache 下：.htaccess 必须放在项目根目录，且虚拟主机配置中 AllowOverride All 已开启；<directory>Require all denied</directory> 这类块不能嵌套在 <ifmodule mod_rewrite.c></ifmodule> 里，否则模块未加载时规则不生效
Nginx 下：必须用 location ^~ /application/，不能用 location ~ ^/application/；正则匹配优先级低于 ^~，而 ThinkPHP 的通用 try_files 规则通常写在正则块里，会直接跳过你的禁止规则
ThinkPHP 6+ 默认目录名是 app 而非 application，检查实际目录名再写规则，写错一个字母就等于裸奔

模板引擎里 {php} 标签为什么删不干净

ThinkPHP 默认模板引擎对 {php} 标签只做字符串替换，不走 AST 解析，攻击者用 {p{php}hp} 或换行绕过很常见。单纯靠 str_replace 拦截不可靠。

在 config/template.php 中把 'type' 明确设为 'think'（不是 'file' 或留空），否则 tpl_replace_string 不生效
'tpl_replace_string' => ['{php}' => '{notag}', '{/php}' => '{/notag}'] 是前置混淆，不是删除；真正清理要在编译阶
更关键的是：2026 年攻击已绕过标签级处理，必须启用 security_mode 启动模板沙箱，否则 AST 层注入（如混淆后的 call_user_func_array）无法拦截

数据库密码明文写在 database.php 里安全吗

不安全。直接把 password、username 写死在配置文件中，等于把钥匙贴在门框上——代码一旦泄露（比如误传 GitHub、被拖库、运维权限扩散），数据库就裸奔。

ThinkPHP 本身不提供内置的凭证加密加载机制，它只认解密后的明文字符串。所以“加密存储”本质是：把密文存在别处 → 启动时解密 → 动态塞进数据库配置数组
推荐在 config/database.php 里直接调用解密函数，例如：'password' => \app\common\Security::decrypt($_ENV['DB_PASSWORD_CIPHER'])；注意：解密失败必须抛出异常
密钥绝不能写进代码或 .env；生产环境必须用外部密钥服务（如阿里云 KMS、AWS Secrets Manager）；开发环境可用本地文件，但该文件必须 chmod 600 且不在 Git 跟踪范围内
IV（初始向量）可以和密文一起存（比如用 base64_encode($iv . $ciphertext)），但不能复用 —— 每次加密都生成新 IV

最常被忽略的是：安全模式启用后，security_mode 会禁用所有非白名单反射调用，但如果你在中间件或钩子里手动调用了 ReflectionClass 或 eval 衍生函数，依然会绕过。真正的加固点不在“加了什么”，而在“删掉了哪些默认允许的危险路径”。