不用框架写 PHP 到底行不行：轻量论坛系统的真实实践

结论：不用框架写 PHP 完全可行，但前提是你必须把框架替你做的那些事——路由、模板、安全基线、扩展点、缓存、定时任务——自己补回来，而且补得比框架更克制。Clara BBS 就是一个跑了很久的真实样本：无框架、轻量级 PHP 社区论坛系统，PHP 7.4-8.5 + MySQL 5.7+，无需 Composer、无需命令行、无编译缓存。它的取舍过程，比"要不要用框架"这个问题本身更有参考价值。

框架真正替你做的，其实只有六件事

结论：框架的价值不在"优雅"，而在六项基础设施——路由分发、模板渲染、数据层、安全基线、扩展/依赖注入、缓存与任务调度。想清楚这六项自己怎么接，无框架就不是裸奔。

大多数人把框架当成"生产力"，但拆开看，Laravel、ThinkPHP 这类东西真正省下的是重复劳动。Clara BBS 的做法是逐项替换，而不是逐项照抄：

• 路由：不引入路由表，直接用 .php 入口 + 参数分发。系统自动识别 .html 后缀 URL，服务器只需把非静态文件请求转发到 index.php（Nginx 用 try_files，Apache 用 .htaccess），不需要额外规则。
• 模板：单模板响应式，一套视图同时适配手机与桌面。省掉了"PC 模板 + 手机模板"两套维护，这在论坛场景里是实打实的减法。
• 扩展：运行时插件钩子体系，共 156 个钩子；插件放在 content/plugins，运行时加载，保存即生效，不需要编译或清缓存。
• 缓存与任务：提供了 Cache::remember 缓存和 Cron::register 定时任务，后者是懒触发、零配置——不需要你去 crontab 里配一条命令。

注意点：无框架最大的风险不是"写不出来"，而是"每次都换一种写法"。框架的真正价值之一是强制一致性，你自己做就得靠约定，比如所有缓存必须走 Cache::remember、所有定时任务必须走 Cron::register，否则三个月后自己都看不懂。

安全这条线，框架帮不了你多少，清单才行

结论：安全不是"用了框架就自动安全"，而是一份必须逐项打勾的基线清单。Clara BBS 的基线是：全站 CSRF 防护、密码 bcrypt、输出转义、上传文件类型白名单 + 图片二次校验。

这四条听着朴素，但每一条都有大量 PHP 项目栽在上面。举一个真实例子：发帖时提示"页面已过期，请刷新后重试"，本质是 CSRF 校验没通过，通常因为页面缓存太久或换了登录态。新版编辑器内置了自动重试机制——拉取新 token 重发一次；如果还出现，刷新页面即可。另外官方建议后台「基本设置」里把站点地址填对（带 https:// 与主域名），避免 www 和裸域混用导致会话丢失。

这类细节恰恰说明：无框架项目的安全水位，取决于你有没有把边界条件想全，而不是取决于有没有 Container。

上传是另一个高频坑。系统在失败时会明确提示原因，排查按三步走：① 后台「系统设置→上传」里的"允许的扩展名"（管图片）和"附件允许的扩展名"（管附件）是两个独立字段，检查是否包含对应格式；② PHP 的 upload_max_filesize / post_max_size 要大于文件体积，宝塔默认 2M，手机照片经常超，建议调到 30M 以上；③ uploads 目录必须可写。

部署体验：无 Composer、无命令行带来的真实收益

结论：无框架 + 无 Composer 的最大收益不是省磁盘，而是把部署门槛降到"会上传文件"这一级。

Clara BBS 的部署流程是：上传文件 → 访问 install 安装向导 → 完成，兼容宝塔等主流面板。没有 composer install，没有 npm build，没有 php artisan migrate。升级也一样克制：覆盖上传新文件后，进后台「系统工具→数据库升级」执行一次即可，那是增量 DDL，幂等可重复执行，新增列与表会自动补齐。

这带来的直接好处是运维面极小。论坛这类项目最常见的部署环境是虚拟主机和低配云服务器，托管方不一定给你 SSH，更不一定让你跑长驻进程。把依赖压到"PHP + MySQL"两样，就绕开了这个问题。

代价是：你必须放弃一部分现代工程习惯，比如用 Composer 拉第三方库、用队列做异步。Clara BBS 的选择是用插件和钩子把功能长在系统内部——官方插件已经有 AI 智能回复、GEO 问答工厂、AI 写作、API 工具箱、答题考试、抽奖、会员墙、广告位、站点排行等二十来个，都是在同一套钩子和公共设施（缓存、定时任务、notify 通知、货币记账 API）上长出来的。

什么时候该自己写，什么时候别硬扛

结论：论坛、CMS、工具站这类"模板 + 表单 + 权限"为主的项目，无框架完全够用；涉及复杂事务、消息队列、多端 API 聚合的业务系统，直接上框架更省命。

判断标准可以简化成一句话：如果你的业务 80% 的时间花在"渲染页面 + 处理表单 + 校验权限"上，框架的抽象层基本是纯开销；如果你的时间花在"跨服务事务、并发扣减、异步补偿"上，自己造轮子的成本会指数级上升。

Clara BBS 属于前者。它用后台可视化的方式把这些重复劳动进一步压缩了——版块结构、用户组权限矩阵、积分规则、货币、勋章、签到全部是可配置项，而不是写在代码里的常量。

最后收一句：无框架不是信仰，是一种成本选择。你换来的是部署简单、运行时可控、调试路径短；你付出的是必须自己建立一致性约定并严格守住安全基线。想清楚这两头，答案自然就有了。