关闭app_debug=false仅是第一步，必须同步关闭show_error_msg、禁用trace、规范runtime目录权限与日志等级，否则敏感信息仍会泄露。

关闭详细报错信息，不能只改 APP_DEBUG = false，必须同步控制错误输出开关、禁用 Trace 面板、确保运行时目录权限正确，并规范日志行为。

必须关闭 show_error_msg

即使 APP_DEBUG = false，只要 show_error_msg 为 true，堆栈、SQL、路径等仍会直接输出到浏览器页面。

• 在 config/app.php 中确认：'show_error_msg' => false
• 检查 .env 文件，确保没有 SHOW_ERROR_MSG=true（它会覆盖 PHP 配置）
• ThinkPHP 6 默认已设为 false，但 TP5 或老项目常默认为 true，务必手动核对

彻底禁用 Trace 调试面板

右下角的调试窗、响应头中的 X-Powered-By、HTML 注释里的耗时/文件列表，都可能来自未关闭的 Trace 功能。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

• 在 config/app.php 中设置：'trace' => ['status' => false] 或 'trace' => []
• 或修改 config/trace.php，将 'type' 设为空字符串或 false
• 更稳妥的做法：自定义空 Trace 类（如 app/common/trace/NullTrace.php），内容仅 <?php return '';，并在 trace 配置中指向它

检查运行时环境与日志配置

关闭调试后，框架依赖 Runtime 目录生成缓存和日志。权限错误或残留缓存会导致“静默崩溃”，反而让问题更难排查。

• 确保 Runtime/Cache、Runtime/Log、Runtime/Temp 对 Web 用户（如 www-data 或 nginx）可读写，推荐 chmod -R 775 Runtime
• 上线前清空 Runtime 全目录（但不要删掉 Runtime 文件夹本身）
• 在 config/log.php 中限制日志等级：'level' => ['error', 'notice']，切勿包含 'sql'
• 在 config/database.php 中确认：'log' => ['enable' => false]

验证是否真正关闭

别只看页面有没有堆栈——要从底层确认。

• 命令行执行：php -r "echo \think\App::isDebug() ? 'true' : 'false';"，输出 false 才算生效
• 用 curl -I 检查响应头，确认无 X-Powered-By: ThinkPHP
• 访问任意接口，观察返回是否为纯 HTTP 状态码（如 500），而非含 HTML 错误页或 JSON 堆栈

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！