关闭 yii 2.0.50 调试页面的核心目的是消除高风险攻击面，防止调试工具栏暴露内部信息并放大 xss 危害；需设 yii_debug=false、移除 debug 模块注册、验证工具栏与错误页消失，并同步加固 xss 防护。
关闭 Yii 2.0.50 的调试页面，核心目的不仅是提升性能，更是消除一个高风险的攻击面——调试工具栏默认暴露大量内部变量、SQL 查询、堆栈路径和环境信息，一旦被恶意利用（例如通过未过滤的用户输入触发错误并渲染调试页），极易成为 XSS 攻击跳板。它本身不是 XSS 漏洞，但会放大 XSS 危害：白屏报错时直接输出未转义的用户数据、显示原始 SQL 中的注入片段、甚至泄露敏感配置路径。
彻底禁用调试模式常量
YII_DEBUG 是整个调试体系的总开关，必须在应用启动最早期就设为 false：
- 打开 web/index.php 和 web/index-test.php（如有），确保第一行是：
defined('YII_DEBUG') or define('YII_DEBUG', false);
且该行必须位于require __DIR__ . '/../vendor/autoload.php';之前 - 检查所有配置文件（尤其是
common/config/main-local.php、environments/prod/web.php），删除或注释掉任何重新定义define('YII_DEBUG', true)的语句 - 加一行临时测试代码：
var_dump(YII_DEBUG); die;放在任意控制器 action 开头，确认输出为 bool(false)
移除 debug 模块注册逻辑
即使 YII_DEBUG=false，若 debug 模块仍被注册，其类加载、日志目标、路由规则仍可能残留，带来间接风险：
- 打开
config/web.php，查找'bootstrap' => ['debug']和'modules' => ['debug' => [...]]；确保它们只存在于if (YII_ENV_DEV) { ... }分支内 - 在生产环境配置（如
environments/prod/web.php或config/main-local.php）中，彻底删除所有 debug 相关配置，不留空数组或注释残余 - 运行命令
php yii debug/info，应返回 “Module not found: debug” 或直接报错；若返回模块信息，说明仍被加载
验证调试页面与错误输出是否消失
配置改完不等于生效，必须验证前端和后端表现：
- 访问任意 URL（如 /site/about），右下角不应出现调试工具栏；触发 404 或数据库异常时，不能显示带堆栈的白色错误页
- 应跳转至你配置的
errorAction（如site/error），且该页面渲染内容需经过Html::encode()或自动转义处理，避免用户输入直接输出 - 检查
runtime/debug/目录是否存在且无新文件生成；若有，说明 debug 日志仍在写入，需回查配置 - 在 error 页面中，确认所有动态输出（如错误消息、请求参数）都经
Html::encode($msg)处理，不依赖框架自动转义——因为调试页关闭后，部分异常上下文可能绕过默认过滤
同步加固 XSS 防护基础
关闭调试页是减法，XSS 防护还需做加法：
- 确保
view/components/View.php或布局中未禁用自动 HTML 转义；Yii 默认对= $var ?>执行Html::encode()，但= $var, \yii\helpers\Html::encode($var) ?>可显式强化 - 对富文本内容，不用
Html::encode，而用HtmlPurifier组件过滤：echo HtmlPurifier::process($userContent); - 禁用所有未授权的
eval()、innerHTML、document.write等 DOM 操作，尤其在 JS 中拼接用户数据时，改用textContent或安全模板方案
