phalcon devtools 绝不能部署在线上环境，必须彻底删除 webtools.php、scripts/ 等全部相关文件，并禁用 composer dev 依赖；同时需显式指定模型表名、关闭调试组件、统一异常处理，并配合 nginx/apache 访问限制与 php 安全配置阻断所有结构泄露路径。
Phalcon DevTools 是开发阶段的辅助工具，**绝不能出现在线上环境**。它本身不处理数据库报错信息，但若被部署到生产服务器，攻击者可通过访问 /webtools.php 或直接调用命令行工具，反向推导出控制器、模型名、数据库表名甚至字段结构——这比 SQL 报错泄露更直接、更危险。
彻底移除 DevTools 线上部署
线上服务器必须确保 DevTools 完全不存在，而非“关闭”或“禁用”：
- 删除项目目录下所有
phalcon-devtools相关文件，包括webtools.php、scripts/、vendor/phalcon/devtools/ - 检查 Web 根目录（如
public/）及其父级路径，确认无webtools.php或devtools/子目录 - 禁止通过 Composer 安装 DevTools 到线上环境：CI/CD 流程中应使用
--no-dev参数，且composer.json的require-dev块不得包含phalcon/devtools - 验证方式：手动请求
https://yoursite.com/webtools.php，必须返回 404；执行ls -l | grep -i devtool应无任何输出
防止模型/控制器名暴露表结构
DevTools 生成的模型类名（如 User）、表名映射（如默认 users）会被框架自动关联。若线上保留生成代码但未做隔离，攻击者可通过错误堆栈、路由反射或调试接口推测结构：
- 禁用 Phalcon 的自动模型发现：在模型类中显式指定表名，避免依赖命名约定
public function getSource() { return 't_user_info'; } - 关闭调试相关组件：确保
webtools中间件未注册，debug配置项为false，且未启用Phalcon\Debug类 - 统一异常处理器：重写
Phalcon\Mvc\Application::handle()的异常捕获逻辑，所有数据库异常只返回500 Internal Server Error，不输出任何消息、堆栈或 SQL 片段
配套加固：切断其他泄露路径
仅移除 DevTools 不够，需同步阻断其他可能暴露结构的环节：
- PHP 错误控制：线上
php.ini中设display_errors = Off、log_errors = On，并在入口文件顶部加ini_set('display_errors', '0'); - Web 服务器防护：Nginx 配置中加入
location ~ ^/(webtools|devtools|scripts|vendor) { deny all; }，Apache 同理用.htaccess拦截 - 运行时权限收紧：确保
app/config/等配置目录不在 Web 可访问路径下；runtime/目录禁止 HTTP 访问，且仅限 Web 进程用户读写 - 禁用危险函数：在
php.ini中设disable_functions = exec,system,shell_exec,passthru,proc_open，防止通过命令注入探测环境
