关闭thinkphp5调试模式需四步：一、入口文件首行硬编码define('app_debug', false)；二、清空runtime目录；三、禁止web访问runtime/log/；四、通过响应头、日志目录及isdebug()方法验证。

关闭 ThinkPHP5 调试模式，核心是彻底禁用 APP_DEBUG 常量，并同步切断所有可能泄露敏感信息的输出通道。只改 config/app.php 中的 app_debug 是无效的，必须从入口文件入手。

一、入口文件硬编码设为 false（最强制、最可靠）

打开项目根目录下的 index.php（TP5 的唯一主入口），确保在 <?php 后第一行、任何 require 或 include 之前，写入：

• define('APP_DEBUG', false); —— 必须是布尔 false，不能是字符串 'false' 或数字 0
• 检查是否有其他位置重复定义，如 admin.php、api.php 等多入口文件，全部改为 false 或直接删除该行
• 确认前面无空行、BOM、注释或任何输出（包括 UTF-8 BOM 头）

二、清空 runtime 缓存（否则配置不生效）

ThinkPHP5 会把调试相关配置和模板编译结果缓存到 runtime/ 目录，不清理等于没关：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

• 执行命令：rm -rf runtime/*（Linux/macOS）或手动删除 runtime 下全部内容（含隐藏文件）
• 特别注意：runtime/log/ 下若仍有 sql/ 或按日期命名的 .log 文件，说明旧日志未清或 debug 仍在运行
• 重启 Web 服务（如 Nginx + PHP-FPM）后访问，确保页面不再显示右下角 Trace 面板和堆栈信息

三、封死日志目录 Web 访问（防批量下载）

即使 debug 关了，若 runtime/log/ 可被直接 HTTP 访问，攻击者仍可猜路径下载历史日志（含数据库密码、SQL、路径等）：

• Nginx 配置中加入：location ~ ^/runtime/.*\.(log|php)$ { deny all; }，然后重载配置
• Apache 下，在项目根目录（非 public 内）加 .htaccess：Deny from all，并确保 AllowOverride All 已启用
• 更彻底做法：将 runtime 目录移出 Web 根目录（如放到 /var/www/myapp/runtime/），再在 config/app.php 中配置 'runtime_path' => '/var/www/myapp/runtime/',

四、验证是否真关掉（三步实测）

不能只看代码，必须通过实际请求和系统反馈确认：

• 用 curl 检查响应头：curl -I http://your-domain/，返回中不应出现 X-Powered-By: ThinkPHP
• 进 runtime/log/ 目录执行 ls -la，应存在 error/ 子目录，但 不能有 sql/ 目录或大量 debug 日志
• 命令行运行：php -r "echo \think\App::isDebug() ? 'true' : 'false';"，输出必须是 false

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！