thinkphp 6.0外包项目五大高频坑：php cli版本与web不一致、.env编码/位置错误、web服务器未透传path_info、多应用路由兜底失效、验证码防护不足，均需在部署前主动验证并写入交付清单。
用 ThinkPHP 6.0 做外包项目，表面看是“国产框架熟、上手快、客户好理解”，但实际交付中常被几个隐蔽却高频的问题拖垮工期、引发扯皮，甚至导致返工。这些坑不是文档没写，而是文档不会告诉你“客户现场环境到底什么样”“甲方运维连 PHP 版本都分不清”。以下是五个真实踩过、反复验证过的典型问题。
PHP 版本和 CLI 环境不一致
客户服务器装了 PHP 7.4，但 php -v 显示的是 7.0——这是最常见也最容易被忽略的“双版本陷阱”。ThinkPHP 6.0 要求 ≥7.1，而 Composer 安装、think 命令运行、runtime 目录生成全走 CLI，跟网页里 phpinfo() 显示的版本完全无关。外包部署时，运维常只改了 Apache 的 PHP 模块，忘了同步切换系统默认 CLI 版本。
建议：
• 部署前先跑 php -v && php -m | grep json，确认 CLI 下扩展齐全
• 在客户服务器上执行 update-alternatives --config php（Ubuntu/Debian）或 alternatives --config php（CentOS），手动指定 CLI 默认版本
• 把 php7.4 /usr/bin/composer create-project ... 写进部署脚本，不依赖环境变量
.env 文件在客户环境静默失效
本地调试一切正常，一上线数据库就连不上，DB_HOST 还是默认的 127.0.0.1。查日志没报错，清缓存也没用——大概率是 .env 文件被 Windows 记事本保存成了 UTF-8 with BOM，或被 FTP 工具上传时自动转码，又或者客户用了宝塔面板，把项目根目录设在了 /www/wwwroot/xxx/public，结果 .env 放错位置（它必须和 think 可执行文件同级，不能放在 public/ 下）。
建议：
• 用 file .env 检查编码，确保是 UTF-8 without BOM
• 部署包里直接提供一个无 BOM 的 .env 示例，并加注释说明“请勿用记事本编辑”
• 在 app/common.php 开头加 var_dump($_ENV['DB_HOST'] ?? 'env not loaded');，上线首测必看输出
Apache/Nginx 没传 PATH_INFO，伪静态形同虚设
客户说“你们写的 URL 去掉 index.php 就打不开”，技术上不是 TP 配置问题，而是 Web 服务器根本没把路径信息交给 PHP。访问 /user/index 正常，但 /index.php/user/index 才能通，说明 $_SERVER['PATH_INFO'] 是空的。尤其在宝塔、AMH 或老旧 Apache 2.2 上，.htaccess 里的 RewriteRule 写法稍有偏差就会失效。
建议：
• Apache 推荐用：RewriteRule ^(.*)$ index.php [L,E=PATH_INFO:$1]（注意不是 /index.php/$1）
• Nginx 必须加：fastcgi_param PATH_INFO $fastcgi_path_info; 和 include fastcgi.conf;
• 给客户附一份《Web 服务器检查清单》，明确写出要确认的三行配置，避免甩锅给“框架不兼容”
多应用模式下路由冲突，客户要“首页即后台”
外包常遇到需求：“前台用 index 应用，后台用 admin 应用，但访问域名就直接进后台登录页”。这时若只改 config/app.php 的 default_app，会发现 /admin/login 能进，但 /login 就 404——因为 TP 的多应用路由优先级是“先匹配应用名前缀，再查内部路由”，全局路由不会兜底未命中应用前缀的请求。客户不管原理，只问“为什么我输域名进不去？”
建议：
• 不要用 default_app 硬切，改用 域名绑定：在 config/app.php 中配置 'domain_bind' => ['admin.xxx.com' => 'admin', 'www.xxx.com' => 'index']
• 若必须单域名，就在 public/index.php 入口手动判断 host，require_once __DIR__.'/../app/admin/controller/Login.php'; 强制跳转（简单粗暴但有效）
• 提前和客户确认“是否接受 admin.xxx.com 这种二级域名方案”，写进需求确认书
验证码被绕过，上线三天就被注册机灌满
外包项目常图省事，直接用 TP 自带验证码，但默认配置对 OCR 和暴力请求几乎不设防。实测 tesseract 识别率超 85%，配合简单脚本每分钟可试 200+ 次。客户投诉“网站被刷垃圾账号”，第一反应是怪你“安全没做”，而不是自己没提需求。
建议：
• 关闭 useImgBg，启用 useNoise + useCurve，codeSet 去掉 0/O/1/l
• 后端校验前，先查 Redis：INCR captcha:fail:{$ip}，5 分钟超 5 次直接封 IP 段
• 验证成功后立即 DEL captcha:{$key}，绝不复用
• 把“验证码防护等级”作为可选项写进报价单：基础版（默认）、增强版（Redis+IP限频）、企业版（加行为分析）
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
