手动修复
在think\App类的module方法的获取控制器的代码后面加上
if(!preg_match('/^[A-Za-z](\w|\.)*$/',$controller)){thrownewHttpException(404,'controller not exists:'.$controller);}
在think\route\dispatch\Url类的parseUrl方法，解析控制器后加上
if($controller&&!preg_match('/^[A-Za-z](\w|\.)*$/',$controller)){thrownewHttpException(404,'controller not exists:'.$controller);}
详情：https://blog.thinkphp.cn/869075
