thinkphp项目上线前必须规范入口文件位置与内容、关闭调试模式、隔离并禁用上传目录执行权限：入口文件须置于public下且app_path定义正确；app_debug必须设为false；上传目录应移出web根目录并配置nginx/apache禁止php解析。
ThinkPHP项目上线前，入口文件、调试模式和上传目录是三个最常被忽略却极易引发安全风险的环节。它们看似配置简单，实则直接关系到代码暴露、错误信息泄露、任意文件执行等高危问题。
入口文件位置与内容安全
入口文件（如 index.php）不能放在项目根目录下——否则 application/、config/ 等敏感目录会直接被浏览器访问。正确做法是把整个项目放到 Web 服务器文档根目录之外，仅将入口文件和 public/ 目录置于可公开访问路径中。
- 入口文件中必须定义 APP_PATH，且结尾带斜杠：
define('APP_PATH', __DIR__ . '/../application/');，否则路径拼接错误可能导致配置加载失败，框架退回到默认行为，埋下隐患 - 禁止在入口文件中输出任何内容（包括空格、echo、var_dump），否则会提前发送响应头，导致后续重定向、Cookie 设置或 JSON 输出异常
- 不建议在入口里写业务逻辑或数据库操作——每次 HTTP 请求都会执行一遍，既不可控又难排查
调试模式必须关闭
开发阶段开启 APP_DEBUG = true 很方便，但上线后若未关闭，等于向攻击者主动提供：完整错误堆栈、数据库连接信息、模板路径、SQL 语句甚至部分源码片段。
- 检查入口文件末尾是否还保留着
define('APP_DEBUG', true);，生产环境应改为false或直接删除该行 - 即使关闭了 APP_DEBUG，也要确认配置中没有开启
'SHOW_ERROR_MSG' => true，否则仍会暴露错误详情 - 关闭后，runtime/ 目录下的日志、缓存、模板编译文件不再自动刷新，需手动清空或部署时重建
上传目录必须隔离且不可执行
用户上传的文件如果落在 Web 可访问路径下，且服务器未禁用脚本解析，就可能被当作 PHP 执行——这是最常见的 RCE 入口之一。
- 上传目录不要设在 public/ 下的开放路径（如
public/uploads），而应放在项目根目录外或 public/ 内但配合 Web 服务器规则禁止执行 - Nginx 示例：在上传目录所在 location 中添加
location ~ \.(php|phtml|php3|php4|php5|php7|php8|sh|bash|pl|py|jsp|asp|aspx|cgi|exe|dll|so|bin)$ { deny all; } - 上传后务必校验真实 MIME 类型（用
finfo_file()），不能只依赖扩展名；对图片类文件建议再调用getimagesize()验证 - 使用 ThinkPHP 的
validate(['ext' => 'jpg,png,gif'])+rule('date')或自定义唯一命名，避免覆盖和路径遍历
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
