暴露异常消息是否安全？

Question

PHP中的异常包含 getMessage 方法，在公共API中公开此消息是否安全？是否有任何规范说不包含密码等敏感信息，例如在该方法返回的消息中？

我正在使用Laravel，但我也想知道纯PHP的情况。

Answer 1

作为一般的良好做法，应记录错误而不显示。如果您正在构建API，则应该只返回一些有意义的错误消息。像

这样的东西

status => 210,
text => You sent a malformed request for x,
result => fail

status => 403,
text  => You do not have permission to access this api,
result => fail

您将拥有包含所有状态代码及其含义的完整文档。