Опасно ли показывать stack trace и текст ошибок?
Да: это раскрывает пути, версии и устройство системы; на production debug выключается, пользователю показывается нейтральная ошибка.
Посмотреть возможности проверки сайта
Для этого редакционного ответа пока не подтверждена точная продуктовая проверка. Можно посмотреть действующие варианты аудита без обещания, что этот вопрос уже проверяется автоматически.
Посмотреть варианты аудитаЧто это значит на практике
Подробный stack trace предназначен для разработчика, а не для публичного интерфейса. В нём могут быть пути файлов, названия библиотек, версии и другая информация об устройстве приложения, которая не нужна пользователю и облегчает изучение внутренней структуры системы.
Production-ошибка должна помогать пользователю продолжить действие, не публикуя техническую диагностику.
Практический сценарий: Пользователь отправляет некорректную форму и вместо сообщения «Не удалось выполнить действие» получает страницу с трассировкой Laravel и локальными путями проекта. Такой вывод следует заменить безопасным пользовательским сообщением, а детали оставить в закрытом журнале.
Исключения и важные оговорки
Внутренняя среда разработки и закрытые диагностические инструменты имеют другой режим. Речь идёт именно о публично доступном production-интерфейсе.
Что проверить на сайте
Откройте типичные ошибки 404/500 и ошибки формы без реальных разрушительных действий, проверяя, что техническая диагностика не выводится публично. У question record нет audit check code, поэтому не позиционировать этот ответ как обещание отдельного автоматического security scan.
Посмотреть возможности проверки сайта
Посмотреть варианты аудитаМатериал носит общий информационный характер и не заменяет юридическую консультацию с учётом конкретной ситуации.