ThinkPHP后台登录地址这东西，后台说穿了就是登录地址一个URL。默认情况下，后台你装完ThinkPHP框架，登录地址访问`http://你的后台域名/index.php/Admin/Login/index`就能看到后台登录页。但问题来了——如果你真这么干，登录地址等于把自家大门钥匙挂在门口。后台 我见过太多新手项目，登录地址后台地址就是后台默认的，爬虫一扫一个准。登录地址有个朋友的后台公司网站被黑，黑客就是登录地址扫到了`/admin`路径，试了几天弱口令就进去了。后台后来我帮他改后台地址，登录地址他一脸懵：“还能改？后台”能改，而且必须改。 ThinkPHP的后台地址其实由路由决定。默认模块是`Admin`，控制器是`Login`，方法名是`index`。你可以直接在`application/config.php`里改默认模块，或者用路由规则重定向。比如把后台入口伪装成`/manage-system`，甚至更隐蔽的`/user-center`。但别指望改个路径就高枕无忧，防君子不防小人。 实际操作中，我更喜欢用多级目录加参数验证的方式。比如在`public`目录下建个`backend.php`作为入口文件，里面定义好常量，再引入ThinkPHP的启动文件。这样后台地址变成`http://域名/backend.php`，比直接暴露`index.php/Admin`强点。但入口文件一旦被扫描到，还是能猜到是ThinkPHP——因为`backend.php`里会加载框架核心。 更狠的做法是改路由规则，让后台地址看起来像普通页面。比如定义`Route::get('dashboard','Admin/Login/index')`，访问`/dashboard`就能到登录页。但别用太常见的词，`dashboard`、`manage`、`console`这些都在黑客的字典里。用那种无意义的组合，比如`/x7k2p9`，虽然丑，但有效。 还有个细节——登录成功后的跳转地址也别用默认的。ThinkPHP后台登录成功后通常会跳转到`Admin/Index/index`，这个路径同样暴露身份。改路由时把成功跳转也一并处理掉。 说句实在话，后台地址隐藏只是安全的一环。你密码设成`123456`，地址再隐蔽也没用。但改地址至少能挡住80%的自动扫描攻击，剩下20%是定向攻击，那就要靠权限验证、验证码、IP白名单这些了。 有人觉得改后台地址麻烦，其实就几行配置的事。关键是别用`Admin`这个模块名，换成`Backend`、`Console`或者自己编的模块名，配合路由规则，能让攻击者多花不少时间。时间就是成本，他们扫一个站要半小时，扫你这种要半天，自然就放弃了。 最后提一嘴，改完地址后记得清缓存。ThinkPHP的路由缓存有时候会卡住旧配置，我遇到过好几次改了路由不生效，最后发现是`runtime`目录下的缓存文件没删。删掉`runtime`下的所有文件，重新访问新地址——这就对了。