如何进行ThinkPHP安全防护设置？

本文共计1179个文字，预计阅读时间需要5分钟。

ThinkPHP的安全并非仅靠开关就能保障，而是需要分层沉淀几个关键入口：

如何确认并强制启用 ThinkPHP 8.1+ 的安全模式

ThinkPHP 8.1 是分水岭版本，内置上下文感知过滤和模板沙箱，低版本即使打补丁也防不住 2026 年新型 RCE 载荷。

• 执行 php think version 查看当前版本，输出必须是 8.1.0 或更高；8.0.9 不行，8.1.0-beta 也不行
• 运行 composer update topthink/framework:^8.1，注意末尾的 ^8.1 —— 写成 ^8.0 或漏掉 ^ 会导致降级或不动
• 编辑 config/app.php，将 'security_mode' => false 改为 true；该配置不启用时，__invoke 反射和 call_user_func_array 动态调用仍可被利用
• 改完后清空 runtime/cache/ 目录，否则配置可能被缓存绕过

为什么 .htaccess 或 Nginx location 规则总失效

不是规则写得不对，而是放错位置或匹配优先级被覆盖。