ThinkPHP 8 强制路由模式详解
TP8 默认采用混合路由模式，既支持通过路由定义访问，也允许直接使用“控制器/方法”的原生地址（如 index/user/list）进行访问。
开启强制路由配置
在 config/route.php 中设置 url_route_must 为 true 即可开启强制路由：
// config/route.phpreturn ['url_route_must' => true,];
开启后，所有 HTTP 请求必须严格匹配预先定义的路由规则。系统将不再支持直接通过控制器或方法地址访问，包括首页在内的所有入口均需在路由文件中明确定义，否则将直接抛出 404 异常。
路由定义示例（route/app.php）：
// 首页Route::get('/', 'Index/index');// 列表Route::get('user/list', 'User/list');// 带参数Route::get('user/:id', 'User/detail');
开启强制路由后的行为差异：
/user/list：若已定义路由，可正常访问。/user/list.html：若未定义该具体路由，无法访问。user/detail?id=1：原生控制器地址方式无法访问。
核心优势分析
1. 显著提升安全性
- 杜绝接口泄露：攻击者无法通过猜测控制器或方法名来扫描后台接口及内部方法。
- 封闭原生通道：即使控制器或方法定义为 public，也无法通过原生 URL 直接调用。
- 统一拦截非法请求：可在路由层统一进行请求类型校验（GET/POST）、参数正则校验、域名及 IP 限制，在进入控制器前即完成安全过滤。
若不开启强制路由，即便定义了路由，攻击者仍可能绕过路由直接访问控制器方法，导致权限控制和中间件逻辑失效。
2. 接口统一管控，业务边界清晰
所有对外暴露的入口集中于路由文件，使其成为项目的接口清单：
- 便于维护：新成员可通过查看路由快速了解对外开放的接口。
- 易于下线：只需注释或删除路由即可下线接口，无需修改控制器代码。
- 规范开发：特别适合前后端分离及 API 项目，确保接口规范统一。
3. 中间件、权限与缓存的统一挂载
路由及路由分组支持绑定中间件，确保逻辑严密执行：
Route::group('admin', function (){Route::get('list','Admin/list');})->middleware(Auth::class);
在强制路由模式下，不存在绕过路由进而绕过中间件直接访问控制器的漏洞。此外，该模式还支持路由缓存、模型绑定、隐式追加参数及响应格式的统一控制。
4. URL 完全可控，利于 SEO 与迭代
- 美化 URL：URL 结构与内部控制器解耦，可随意美化以提升 SEO 效果。
- 后端重构无感：后端修改控制器或方法名时，只要保持路由映射不变，前端无需调整。
- 版本平滑迭代：支持通过
v1/user、v2/user等分组路由实现接口版本控制。 - 灵活变更：后期更换接口地址仅需修改路由配置，无需全局替换前端调用地址。
5. 减少误访问与调试信息泄露
开发阶段常包含测试或临时调试方法。若不加强制路由，上线后若忘记删除这些方法，可能被外部恶意访问。开启强制路由后，“未定义路由即不可访问”的原则天然隔离了内部非公开方法。
潜在代价与注意事项
- 配置工作量增加：所有入口（含首页）均需编写路由，缺失则报 404。建议对于大型项目使用路由分组和延迟解析优化文件结构。
- 轻微性能损耗：需遍历路由进行匹配。TP8 支持路由延迟解析和分组合并解析以缓解此问题。
- 适用范围：仅针对 HTTP 请求，命令行、内部跳转及内部控制器调用不受影响。
- 调试便利性：开发初期若忘记写路由将无法访问，建议仅在上线环境开启，开发环境可暂时关闭。
最佳实践建议
- 环境区分：开发环境设置
url_route_must = false以方便调试，生产环境开启以保障安全。 - 性能优化：采用路由分组结合延迟解析机制。
- 友好提示：统一注册 MISS 路由，提供规范的 404 响应。
Route::miss(function(){return json(['code'=>404,'msg'=>'接口不存在']);});
- 规范请求类型：路由定义时应明确指定请求类型（如 GET、POST），避免滥用
Route::any。