thinkphp5项目实战教程

接手过一个二手thinkphp5项目，项目那代码能让人半夜惊醒。实战控制器里塞了三千行SQL，教程模板直接拼接用户输入，项目连基本的实战参数绑定都省了。后来我花了两个通宵，教程把核心逻辑重写了一遍。项目今天就把这些踩坑换来的实战经验拆开讲，不整虚的教程。

先看路由。项目thinkphp5默认的实战pathinfo模式在nginx下经常出幺蛾子，特别是教程配置了伪静态却忘了加index.php排除规则。我习惯在应用入口文件直接定义：Route::miss('index/index'); 这能兜住所有未匹配的项目URL，避免暴露框架默认的实战报错页面。还有，教程别把业务规则写死在路由参数里，比如 /user/delete/id/1 这种，改成POST提交，配合行为校验，至少能挡掉一半的CSRF攻击。

数据库这块，tp5的查询构造器看着方便，但坑也不少。where条件里如果直接传数组，键名是字段，值没做类型转换，MySQL的隐式转换会让你索引失效。举个例子，where(['status' => $status])，如果$status是字符串"0"，而表里status是int类型，查询计划直接全表扫描。我后来强制要求所有查询条件用闭包写法，配合exp表达式，性能提升立竿见影。还有，模型的事件钩子别乱用，我在afterInsert里同步了缓存，结果批量插入时每次都触发，压测直接崩了。

模板引擎默认的标签库，说实话，写起来啰嗦。但别急着换，tp5的模板继承机制用好了能省一半代码。我通常把公共头部、底部、侧边栏拆成layout，然后子模板用{ extend name="base" /}。这里有个细节，区块定义里别写死CSS类名，用{ block name="css"}{ /block}占位，页面级样式在子模板里覆盖，避免样式污染。

再说说缓存。tp5自带的cache驱动支持文件、redis、memcached，但很多人忽略了一个关键点——缓存键的生成规则。默认的键名是md5(完整URL)，这导致不同参数的同页面会生成大量冗余缓存。我改成手动拼接业务键，比如商品详情 product_detail_{ $id}，配合标签清理，命中率提高了三倍。别迷信缓存能解决一切，我见过有人把用户余额也缓存了，结果扣款后忘了删键，余额对不上账。

验证器是tp5的亮点，但官方文档例子太简单。实际项目中，场景验证比自动验证好用得多。比如注册场景要求密码长度至少8位，登录场景只验证非空。我在控制器里这么写：$validate = Validate::make(['name' => 'require|max:25'], ['name.require' => '用户名必须填写']); 然后$validate->scene('edit')->check($data)。这比在模型里堆规则清晰，报错信息也能精确到字段。

最后说部署。tp5的runtime目录权限问题，99%的报错都跟它有关。我习惯把runtime目录软链到tmpfs，既保证写入速度，重启自动清空。还有，生产环境一定关掉debug，但别只改配置——把.env文件里的APP_DEBUG设为false后，还要检查config/app.php里的trace是否关闭，否则请求日志会记录完整SQL语句，等于给黑客递刀子。

这框架不完美，但胜在轻量直接。你只要避开这些暗坑，写业务代码的速度能快过Laravel。真遇到诡异问题，别急着搜答案，先打开app_debug日志，看最后几条查询记录，八成是关联模型预加载没写对。