ThinkPHP本身不直接处理数据库弱口令，但会因配置文件硬编码密码、未限制登录尝试等加剧风险；防御关键在于移出config/database.php、用环境变量加载凭证、强化登录校验与失败锁定、禁用默认账号及危险函数。
ThinkPHP 本身不直接处理数据库弱口令，但会暴露或加剧弱口令风险——比如在配置文件中硬编码密码、未限制登录尝试、未校验密码强度。防御弱口令攻击的关键动作不在框架层“拦截密码”，而在于切断弱口令的使用路径和放大效应。
数据库连接凭证不能写死在 config/database.
php
这是最常被扫描到的弱口令入口：攻击者通过访问
（若 Web 目录权限配置错误）直接拿到明文账号密码，再对 3306 端口暴力爆破。
把
移出 Web 可访问目录，例如放到
或项目根目录外
改用环境变量加载数据库凭证：
+
，并在
文件中配置（确保
不可被 HTTP 访问）
Linux 下执行
，禁止组和其他用户读取
登录接口必须做密码强度校验与失败锁定
ThinkPHP 不内置密码强度规则，也不自动封禁 IP 或账户。若仅靠前端提示“请输强密码”，后端不做校验，等于形同虚设。
在登录前调用自定义验证器，例如：
失败计数存 Redis，键名建议为
，TTL 设为 3600 秒
每次登录失败时
，达到 5 次后返回
并拒绝后续请求
登录成功后立刻
，避免网络超时导致误锁
避免复用 MySQL 默认账号与空密码
很多 ThinkPHP 部署直接用
连接数据库，且未改默认密码——这会让 3306 扫描器 1 秒内命中。
PHP 8.5.5
PHP 8.5.5 是 PHP 8.5 分支的维护更新版本。该版本延续了“小步快跑”的迭代逻辑，通过深度错误修复、底层性能微调以及安全加固，旨在为开发者提供一个更健壮、更高效的运行环境。该版本严格遵守语义化版本规范，不包含破坏性变更。
下载
立即学习
“
PHP免费学习笔记（深入）
”；
创建专用数据库用户：
仅授予最小必要权限：
禁用远程登录：
（防止攻击者从外网连 3306）
确认
表中无空密码用户：
PHP 运行时需禁用危险函数并加固会话
弱口令常与会话固定、远程代码执行组合利用——比如先爆破出测试账号，再借助
函数反弹 shell。
在
开头插入：
登录成功后立即调用：
，防止攻击者预设
接管会话
强制会话 Cookie 属性：
（HTTPS 环境下）
真正难防的不是“弱密码本身”，而是弱密码被用于横向移动——比如一个低权限后台账号被爆破后，通过模板注入或日志文件包含拿到服务器权限。所以密码强度只是第一道门，后面每道链路（会话、函数禁用、权限隔离）断掉一环，整条攻击链就崩了。
/config/database.phpconfig/database.php/app/config/env('DB_USERNAME')env('DB_PASSWORD').env.envchmod 600 .env$this->validate($data, ['password' => 'require|length:8,32|regex:/^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[\W_]).+$/'])login:fail:{$username}INCR login:fail:{$username}429 Too Many RequestsDEL login:fail:{$username}root@localhostCREATE USER 'tp_app'@'127.0.0.1' IDENTIFIED BY '随机32位密码';GRANT SELECT,INSERT,UPDATE,DELETE ON `myapp_db`.* TO 'tp_app'@'127.0.0.1';REVOKE ALL PRIVILEGES ON *.* FROM 'tp_app'@'%';mysql.userSELECT user,host,authentication_string FROM mysql.user WHERE authentication_string = '' OR authentication_string IS NULL;system()public/index.phpini_set('disable_functions', 'exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec');session_regenerate_id(true)PHPSESSIDini_set('session.use_only_cookies', 1); ini_set('session.cookie_httponly', 1); ini_set('session.cookie_secure', 1);