咨询：如何阻止Laravel PHP应用报错时暴露敏感信息

• 关闭调试模式（核心操作）
  打开项目根目录下的.env文件，将APP_DEBUG设置为false：

  APP_DEBUG=false
  

  同时确保生产环境下APP_ENV设置为production，Laravel会自动切换到生产环境的错误处理逻辑，不再暴露任何错误详情。

• 自定义生产环境错误页面
  在resources/views/errors目录下创建对应HTTP状态码的blade视图文件（比如500.blade.php），写入友好的错误提示内容，例如：

  <!DOCTYPE html>
  <html>
  <head>
      <title>服务器错误</title>
  </head>
  <body>
      <h1>抱歉，服务器暂时出现问题，请稍后再试</h1>
  </body>
  </html>
  

  当应用出现对应错误时，会自动加载这个自定义页面，不会展示任何敏感信息。

• 依赖日志记录排查问题
  关闭调试模式后，Laravel会自动将所有错误信息写入storage/logs目录下的日志文件中，开发者可以通过查看日志文件排查问题，而普通用户看不到任何错误详情。默认日志配置无需额外修改，满足生产环境需求。

• 开发环境下过滤敏感数据（可选）
  如果需要在开发环境保留调试页面但隐藏敏感字段，打开config/app.php文件，找到debug_blacklist数组，添加需要过滤的敏感键名：

  'debug_blacklist' => [
      '_ENV' => ['DB_PASSWORD', 'DB_USERNAME', 'APP_KEY'],
      '_SERVER' => ['DB_PASSWORD', 'DB_USERNAME'],
      '_POST' => ['password', 'password_confirmation'],
  ],
  

  这样开发时的调试页面会自动隐藏这些敏感值，避免泄露。

内容的提问来源于stack exchange，提问作者Luai