ThinkPHP中隐藏后台入口需服务端控制：将控制器移入admin_secret目录并用404路由拦截；敏感内容通过角色判断动态渲染；用中间件屏蔽危险路径；静态资源重定向至runtime非公开目录。
ThinkPHP项目中需要隐藏后台入口、敏感路由或整页内容，但又不能简单用CSS display:none掩盖——因为真实HTML仍会发送到浏览器，权限控制必须落在服务端逻辑层。直接删掉控制器方法会断掉正常业务流，而仅靠前端跳转又毫无安全性可言。
隐藏后台访问入口（非单纯改URL）
在 public 目录同级新建 admin_secret 文件夹，把所有后台控制器（如 Index.php、User.php）全部移入其中。
打开 app/route.php，添加闭包式路由拦截规则：
【Route::rule('admin', function () { return redirect('/login')->code(404); });】
这行代码让任何对 /admin 的直接请求都返回 404，但不会暴露该路径下存在真实控制器——连错误提示都不显示具体模块名。
真正访问后台时，必须通过登录后生成的带签名 token 的临时路由，例如：
/admin/entry?_t=abc123&sig=9f8e7d6c5b4a39281706543210fedcba
在中间件中验证 sig 是否由服务端用 HMAC-SHA256 + 密钥生成，且 _t 未过期（有效期严格限制为 120 秒）。
页面级内容按角色动态隐藏
方法一：在模板中用原生 PHP 判断
在 view/admin/index.html 中，把敏感操作按钮包裹进条件块：
方法二：用 ThinkPHP 模板引擎语法（更安全）
{if $Think.session.role eq 'super_admin'}
清空全部账号
{/if}
注意：模板中的 $Think.session.role 是框架自动注入的，无需手动 session_start()；但必须确保中间件已调用 Session::init()。
彻底屏蔽某类 URL 路径不被解析
第一步：进入 app/middleware.php
第二步：在数组末尾追加自定义中间件类名：
'app\middleware\BlockPath'
第三步：执行命令行生成中间件文件：
php think make:middleware BlockPath
第四步：编辑生成的 app/middleware/BlockPath.php，重写 handle 方法：
public function handle($request, Closure $next)
{
if (stripos($request->url(), '/backup/') !== false ||
stripos($request->url(), '.sql') !== false ||
stripos($request->url(), 'phpinfo') !== false) {
return response('', 403);
}
return $next($request);
}
这一步会直接拦截所有含 backup、.sql、phpinfo 字样的请求，连路由解析阶段都不进入，【避免因路由未定义导致的报错信息泄露目录结构】。
隐藏静态资源的真实路径
把原本放在 public/static/css/app.css 的样式表，移动到 runtime/webres/20260602_app_v3.css。
在控制器中输出资源链接时，不再硬编码路径：
$hash = md5_file(ROOT_PATH . 'runtime/webres/20260602_app_v3.css');
$version = substr($hash, 0, 8);
$this->assign('css_url', '/res/20260602_app_v3.css?v=' . $version);
然后在 Nginx 配置中添加 location 重写规则：
location ^~ /res/ {
alias /path/to/your/project/runtime/webres/;
expires 1h;
}
这样浏览器看到的是 /res/20260602_app_v3.css?v=abcdef12，真实文件既不在 public 下，也没有可猜测的固定路径。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
