thinkphp 8.0安全配置必须严格对照执行：关闭debug、启用url_route_must、删除.env；sql注入仅允预处理；禁用unserialize，改用json_decode；模板默认htmlspecialchars转义，白名单仅限raw；https中间件+csrf注解防护。
ThinkPHP 8.0手册不是翻着看的文档，而是解决具体安全问题时必须对照执行的操作清单——漏掉一条配置，就可能让SQL注入、反序列化或XSS漏洞直接暴露在生产环境。
确认框架是否启用安全基线
打开项目根目录下的config/app.php，检查以下三项必须为指定值：
【'debug' => false】：APP_DEBUG=true时会输出完整错误堆栈，含数据库密码、绝对路径等敏感信息，线上环境必须关闭。
【'url_route_must' => true】：强制路由匹配，未定义的URL直接404，避免未注册路由被恶意探测或绕过验证。
检查.env文件是否存在——若存在，删除它。TP8不读取.env中APP_DEBUG=false的设置，该文件残留会导致调试模式意外开启。
防御SQL注入：只许预处理，禁用原生拼接
方法一：用Query类的where()链式调用（推荐）
$user = Db::name('user')->where('id', input('id'))->find(); → input()自动过滤，where()走预处理。
方法二：显式使用prepare()绑定参数
$sql = "SELECT * FROM user WHERE status = ? AND name LIKE ?";
Db::query($sql, [1, "%".input('keyword')."%"]);
⚠️ 绝对禁止：【Db::query("SELECT * FROM user WHERE id = ".$_GET['id'])】——这种字符串拼接在TP8里不会被自动拦截，PHP底层直接执行，漏洞即刻生效。
堵死反序列化入口：删掉所有unserialize()调用
第一步：全局搜索unserialize(，定位所有调用点
第二步：逐个替换为JSON方案
原代码：$data = unserialize($_COOKIE['cart']);
改为：$data = json_decode($_COOKIE['cart'] ?? '[]', true) ?: [];
第三步：检查第三方扩展，如think-queue旧版存在反序列化风险，升级到v4.0+并确认其配置中'default' => 'redis'且'serializer' => 'json'已启用。
模板层XSS防护：强制转义+白名单函数
打开config/template.php，确保以下配置生效：
【'default_filter' => 'htmlspecialchars'】：所有变量输出默认HTML转义，{ $name }等价于{ htmlspecialchars($name) }。
若需保留HTML内容，必须显式声明白名单函数：
在config/template.php的'function_replace'数组中加入：'raw' => 'htmlspecialchars_decode'；
模板中写：{ $content|raw }——仅此一处可绕过转义，其他位置一律禁止使用|raw或|default等无过滤修饰符。
中间件强制HTTPS与CSRF保护
① 创建HTTPS重定向中间件：
在app/middleware/下新建HttpsRedirect.php，写入：
```php
return function ($request, \Closure $next) {
if (!$request->isSsl()) {
return redirect('https://' . $request->host() . $request->url());
}
return $next($request);
};
```
② 在app/middleware.php中注册：[\app\middleware\HttpsRedirect::class] => ['except' => ['api/']]
③ CSRF Token仅用于表单提交：在需要防护的控制器方法顶部加注解#[Middleware('csrf')]，并在模板form内插入{:token()}——不要在AJAX请求头里手动传_token，TP8的csrf中间件不校验header。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
