必须关闭php、frankenphp、caddy、框架四层调试信息：设display_errors=off、禁用--debug模式、限制metrics/admin端点、禁用app_debug并清空缓存。
FrankenPHP 1.5 生产环境关闭调试信息泄露，关键不是“关一个开关”，而是堵住 PHP、FrankenPHP 运行时、Caddy 服务、应用框架四层可能泄密的出口。只要任一层漏掉，就可能把路径、变量、堆栈甚至环境变量直接打在 HTTP 响应里。
关掉 PHP 层的错误输出
FrankenPHP 不接管错误渲染逻辑，最终是否显示堆栈，取决于 php.ini 是否生效：
-
display_errors = Off —— 最核心的一条，必须关，否则任何 PHP 错误（包括语法错、Fatal）都会渲染成带
的 HTML 页面
- display_startup_errors = Off —— 防止扩展加载失败时暴露底层路径或模块名
- error_reporting = E_ALL & ~E_DEPRECATED & ~E_STRICT —— 线上只报真正影响运行的错误，不报弃用或严格警告
- 执行 frankenphp php-cli -i | grep "Loaded Configuration File" 确认实际加载的 php.ini 路径，编辑它并重启进程
禁用 FrankenPHP 的 --debug 模式
--debug 不只是加日志，它会让异常更早冒泡、注入 X-PHP-Exception 响应头，甚至绕过 display_errors 的限制：
- 启动命令中不能含 --debug，例如不要用 frankenphp serve --debug
- Docker 环境下检查是否误设了 FRANKENPHP_DEBUG=1 环境变量
- 验证方式：在 public/index.php 开头加一行 asdf();，访问页面应返回空白或纯文本 500，而不是带堆栈的 HTML
收紧 Caddy 的调试端点
/metrics 和 /admin 接口虽不直接输出 PHP 错误，但暴露进程状态、内存、热重载开关等，是攻击链的重要跳板：
- 从 Caddyfile 中删除或注释掉 metrics 指令；如需保留，限定为内网地址，例如 metrics 127.0.0.1:2019
- 删除或注释掉 { admin } 块；如必须启用，绑定地址必须严格限制，例如 admin 127.0.0.1:2019
- 检查 frankenphp.yaml 中 features.metrics 和 features.admin 是否设为 false
检查框架是否兜底输出异常
Laravel、Symfony、ThinkPHP 等框架自带异常处理器，可能绕过 PHP 配置直接渲染详细错误页：
- 确保 APP_DEBUG=false，且 APP_ENV=prod 已生效（.env 文件不被提交，环境变量优先）
- Symfony 项目需确认 public/index.php 使用的是 symfony/runtime 兼容入口，而非手动 new Kernel
- Laravel 项目运行 php artisan config:clear 和 php artisan view:clear，避免缓存中残留 debug 模式配置
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
