报错信息泄露是什么
生产环境把异常细节返回给外部，等于把内部结构主动交出去：堆栈能暴露框架与版本、SQL 语句能暴露表名与字段、路径能暴露部署目录，甚至可能出现配置项与凭据片段。这类信息本身不是漏洞，但会显著降低后续攻击的成本。正确做法是对外统一、对内详细：外部只看到通用错误与一个用于定位的标识，完整异常写入服务端日志与追踪系统。
基本信息
| 泄露内容 | 堆栈、SQL 语句、框架版本、内部路径与主机名 |
|---|---|
| 治理原则 | 对外统一响应，对内详细日志 |
| 覆盖位置 | 应用框架、Web 服务器、网关与前端都要配置 |
| 关联标识 | 用 trace_id 把外部响应与服务端日志对应起来 |
典型使用场景
- 生产发布前确认调试模式已关闭，而不是随测试配置一并上线
- 统一异常处理中间件，集中返回通用错误结构
- 网关层拦截上游错误页，统一替换为自定义错误页
- 排查问题时用 trace_id 快速定位日志，无需把详情返回给用户
- 接口与页面两类响应都做检查，避免只改了页面错误页
各环境配置要点
各环境配置要点
PHP：display_errors=Off，log_errors=On
Python/Flask：debug=False（生产），注册全局异常处理器
Java/Spring：server.error.include-stacktrace=never
Node/Express：错误中间件统一返回通用消息
Nginx：统一 502/500 错误页，不暴露上游细节
# 通用原则：对外只给状态码、通用消息与 trace_id统一响应体建议
统一响应体建议
{
"code": 500,
"message": "服务暂时不可用，请稍后重试",
"trace_id": "a1b2c3d4"
}
// trace_id 用于服务端日志检索定位，不包含任何内部细节
// 详细异常与堆栈写入服务端日志与追踪系统常见泄露点
| 位置 | 泄露表现 | 处置 |
|---|---|---|
| 应用框架 | 调试页面、堆栈完整打印 | 关闭调试模式，统一异常处理 |
| Web 服务器 | 默认错误页含版本号 | 自定义错误页并隐藏版本 |
| 网关 / 反代 | 上游错误详情透传 | 拦截并替换上游错误页 |
| 接口响应 | JSON 中带堆栈或 SQL | 统一响应结构，仅返回通用消息 |
对外统一、对内详细不会影响排查效率：给用户的响应里带上 trace_id，运维在日志与追踪系统里能拿到完整上下文。
只在主页做了错误页是不够的：接口以 JSON 返回时仍可能带堆栈，网关、应用与前端多层都要逐一确认。