thinkphp未授权访问漏洞本质是权限控制缺失，修复需在中间件或控制器基类强制校验登录态，禁用auto_route与调试模式，并通过nginx拦截敏感路径及rce特征参数。
ThinkPHP框架的未授权访问漏洞，本质是权限控制缺失导致敏感功能或后台路径可被绕过登录直接访问。它不依赖框架版本号，而取决于业务代码是否对关键操作实施了身份校验与角色判断。
确认是否存在未授权访问风险
先快速验证：在未登录状态下，尝试直接访问以下典型路径（替换为你的实际域名）：
- /admin/ 或 /index.php/admin/（常见后台入口）
- /public/static/ 下的配置文件、日志片段（如 /Runtime/Logs/Home/26_08_17.log）
- /index.php?s=/think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1（RCE类未授权调用）
- 任意控制器方法 URL，如 /index.php/index/test（若 test 方法未加权限拦截，且 auto_route=true，则可能直达）
若返回正常页面、日志内容、phpinfo 输出或数据库信息，说明已存在未授权访问风险。
核心修复手段：强制权限校验
不能只靠“隐藏路径”或“改名后台”，必须在每次请求进入业务逻辑前完成身份判定：
- 在应用中间件（如 app/middleware/AuthCheck.php）中统一检查 session 或 token 是否有效，无效则重定向至登录页或返回 401
- 对后台控制器基类（如 app/controller/AdminBase.php）构造方法中加入校验逻辑：if (!session('?admin_id')) { $this->error('请先登录', url('login/index')); }
- 使用 ThinkPHP 的 access_control 或 RBAC 扩展时，确保 checkAccess() 在 dispatch 前执行，且规则配置覆盖全部敏感模块
关闭自动路由与调试模式
这两项是未授权访问的“放大器”，必须禁用：
- 修改 config/app.php：'auto_route' => false（防止 /s=index/user/edit 直接调用未授权方法）
- 同文件中确认：'app_debug' => false, 'app_trace' => false, 'remote_debug' => false（避免错误页泄露路径、类名、参数结构）
- 清空 Runtime/Log/ 和 Runtime/Cache/ 目录，防止攻击者通过旧日志反推权限逻辑
Web 层补充拦截（防御纵深）
即使应用层有缺陷，服务器层也能拦住大部分自动化探测：
- Nginx 配置中添加：location ^~ /Runtime/ { return 403; }、location ~ .(log|ini|conf|bak)$ { return 403; }
- 禁止直接访问控制器目录：location ^~ /app/controller/ { return 403; }
- 拦截典型未授权调用特征：if ($args ~* "(s=|function=|invokefunction|call_user_func)") { return 403; }
