ThinkPHP URL路由模式怎么配置-ThinkPHP-PHP中文网

thinkphp路由强制模式需同时满足url_route_on=>true、url_route_must=>true、清空runtime/route/缓存、注册miss路由，且需拦截query参数及独立配置子域名/多应用路由。

thinkphp url路由模式怎么配置

ThinkPHP 的 URL 路由模式不是“选一个开关”就能生效的，必须同时满足配置项、缓存清理、入口行为三者协同，否则哪怕写了 url_route_must => true 也形同虚设。

确认当前路由模式类型及对应配置项

ThinkPHP（5.x / 6.x）实际运行的路由模式由两个关键配置共同决定：url_route_on 和 url_route_must。它们不是互斥选项，而是分层控制：

url_route_on => false：整个路由系统关闭，所有请求走默认 m/c/a 解析（不推荐）
url_route_on => true 且 url_route_must => false：启用「混合模式」——先匹配 route.php 规则，不命中则 fallback 到 index.php?m=xxx&c=yyy&a=zzz（默认行为）
url_route_on => true 且 url_route_must => true：启用「强制模式」——仅响应 route.php 中明确定义的规则，其余一律 404

注意：url_route_must 在 ThinkPHP 6 中已移入 config/app.php 的 route 子数组；5.x 则在 config/route.php 顶层。

为什么改了配置却没生效？清缓存只是第一步

ThinkPHP 会把路由规则编译后写入 runtime/route/ 目录。只要这个目录存在，框架就跳过重新解析 route.php，直接加载缓存文件——所以你改的配置根本没被读进去。

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

必须彻底删除 runtime/route/ 整个文件夹（不是清空内容）
确保 Web 服务器对 runtime/ 有写权限，否则下次请求无法重建缓存
若使用 CLI 命令（如 php think route:clear），需确认该命令是否真能删掉 route/ 目录（部分版本只清内容）

验证方式：删完后访问任意未定义路径，看是否返回 404 而非控制器执行结果。

强制模式下仍能通过 ?m=xxx 访问？得加 input 校验拦截

url_route_must => true 只管 PATH_INFO 部分（即 /user/profile 这段），对 query string 中的 m、c、a 参数完全不拦截。攻击者仍可构造 index.php/user/profile?m=admin&c=Index&a=delete 绕过路由。

在 app/common.php 或 app/event.php 中注册 app_init 事件监听器

插入如下校验逻辑（ThinkPHP 6 写法）：

if (input('m') || input('c') || input('a')) {
    throw new \think\exception\HttpException(404);
}

务必放在路由匹配前执行，否则拦截无效

子域名和多应用路由必须独立注册

启用 url_route_must 后，主域名与子域名之间、不同应用之间（如 admin 和 api）的路由规则不再共享或继承。

子域名需开启 url_domain_deploy => true，并在 route.php 中用 Route::domain('api')->group(...) 显式包裹
多应用模式下，每个应用的路由必须单独写在 app/{name}/route/route.php，不能指望全局 route.php 覆盖
资源路由（Route::resource()）、闭包路由等动态规则，一旦定义就必须被显式访问，否则仍属“未定义”，触发 404

最常被忽略的一点：强制模式下，miss 路由（Route::miss()）不是兜底逻辑，而是唯一合法的“未命中处理入口”——它必须存在，且不能抛出异常以外的响应。