生产环境必须关闭php错误显示（display_errors=off）、启用错误日志（log_errors=on）、禁用框架debug开关、保护.env文件、过滤敏感日志、禁用危险函数并隐藏php指纹。
PHP本身没有内置的DEBUG常量，所谓“开启DEBUG模式”是框架或项目约定的行为。直接用define('DEBUG', true)几乎无效，还可能干扰框架逻辑。真正要管的是运行时如何控制错误输出、配置加载和调试行为——尤其在生产环境，必须切断所有敏感信息外泄路径。
关闭PHP底层错误显示
这是最底层、最关键的防线。display_errors=Off必须写进php.ini，不能靠脚本里ini_set()临时覆盖，因为解析错误、内存耗尽等致命问题发生时，PHP根本不会执行到你的代码。
- 确认
display_errors = Off（不是字符串"off"，而是布尔值Off） - 同时设
log_errors = On，并指定error_log = /var/log/php/error.log，确保错误有迹可循 - 检查多层配置：php-fpm pool配置中可能有
php_admin_flag[display_errors] = off，它会强制锁定，防止被绕过
框架级DEBUG开关必须统一关死
ThinkPHP、Laravel等框架的APP_DEBUG或APP_DEBUG=false不是可选项，而是硬性红线。它一旦为true，就会强制启用Trace面板、SQL日志、变量dump，甚至绕过自定义异常处理器。
- ThinkPHP 6+：只认.env文件里的
APP_DEBUG=false，入口文件中define()无效 - Laravel：.env中
APP_DEBUG=false且APP_ENV=production必须同时生效 - 验证是否真关掉：访问任意接口，用
curl -I检查响应头，不能出现X-Think-Trace或X-Debug类字段
保护环境变量与配置文件
敏感信息如数据库密码、API密钥，绝不能硬编码在PHP文件里，也不能通过HTTP可访问路径暴露。
- .env文件必须被Web服务器拦截：Nginx加
location ~ /\.env { deny all; }，Apache用<files>Require all denied</files> - 配置加载路径要安全：禁止用
$_SERVER['DOCUMENT_ROOT'] . '/config/db.php'拼接，改用getenv('DB_HOST')从环境变量读取 - 敏感字段禁止进日志：自定义日志中间件需过滤
password、secret、key等关键词，避免请求参数或配置数组被完整记录
禁用危险函数与隐藏PHP指纹
这些设置不依赖框架，是PHP运行时的硬性安全基线。
-
expose_php = Off：移除响应头中的X-Powered-By -
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec：阻断命令执行链 -
session.cookie_httponly = On且session.cookie_secure = On：防XSS窃取session，仅HTTPS传输
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
