ThinkPHP如何做请求参数注入检测日志_ThinkPHP记录可疑输入用于审计【方法】-ThinkPHP-PHP中文网

thinkphp 6 中 input() 和 request()->param() 默认不保留原始请求体，审计需在控制器开头用 getrawcontent() 或 server('query_string') 获取未过滤数据；推荐通过中间件统一捕获并结构化记录可疑输入。

thinkphp如何做请求参数注入检测日志_thinkphp记录可疑输入用于审计【方法】

ThinkPHP 6 的 `input()` 和 `request()->param()` 默认不记录原始请求体

直接用 input() 或 request()->param() 拿到的是经过框架自动过滤（如 trim、htmlspecialchars 转义）或类型转换后的值，原始未处理参数根本没留下痕迹。审计时发现“用户提交了 <script></script>”，但日志里只看到空字符串或转义结果，没法回溯真实输入。

实操建议：

必须在控制器方法最开头、任何 input() 调用前，手动抓取原始数据：用 $this->request->getRawContent()（POST/PUT/DELETE）或 $this->request->get()/$this->request->post()（注意：这两个是已解析的，不是原始）
对 JSON 请求，getRawContent() 返回的是 raw body，需自己 json_decode($raw, true)；别依赖 input('param_name') 反推
GET 参数相对简单，可用 $this->request->server('QUERY_STRING') 获取完整查询串，再用 parse_str() 解析，保留原始键名和值（包括空格、+、%20 等编码差异）

如何在中间件里统一捕获并标记可疑参数

靠每个控制器手写日志容易漏，也违背单一职责。中间件是唯一能稳定拦截所有请求、且早于业务逻辑执行的位置。

实操建议：

新建中间件 LogSuspiciousInputMiddleware，注册为全局 or group 中间件
在 handle() 方法中，先调用 $request->getRawContent()，若非空则尝试 JSON 解析；同时用 $request->get() 和 $request->post() 分别获取 GET/POST 数据（注意：它们已是 PHP 自动解析过的，但至少比 input() 更接近原始）
可疑特征可定义为：匹配 /]+>/i（HTML 标签）、/javascript:/i、/on\w+\s*=/i（内联事件）、/\$\{.*?\}/（EL 表达式）、长度超 5000 字符等
匹配到后，记录到日志（推荐用 think\facade\Log::record()），字段至少包含：ip、url、method、suspicious_keys、sample_value（截取前 100 字符）、timestamp

`input()` 的 filter 参数会掩盖真实输入，审计时务必绕过

很多人写 input('user_name', '', 'htmlspecialchars')，以为加了过滤就安全，却让日志里永远看不到原始 <script>alert(1)</script> —— 因为 htmlspecialchars 已把它变成 <script>alert(1)</script>，而审计关注的是“谁发了什么”，不是“框架转义成啥”。

实操建议：

禁用所有业务代码里的 input() 第三个参数（filter），改用显式过滤：先存原始值进日志，再用 htmlspecialchars() 或 strip_tags() 处理显示
如果必须用 filter（如兼容老逻辑），至少在中间件里确保原始数据已落盘，别指望 input() 能还原
特别注意 input('data/a.0.b') 这类点语法路径访问——它底层会递归过滤，原始嵌套结构更难追溯，优先用中间件拿到整块 raw body 再解析

日志格式要支持快速筛选，别只写 `print_r()`

随便 Log::info(print_r($data, true)) 导致日志臃肿、无法 grep，查一个 XSS 提交得翻半天。

实操建议：

用结构化字段：例如 Log::record(['type' => 'suspicious_input', 'ip' => $ip, 'keys' => ['nick', 'bio'], 'sample' => '<img src="x" onerror="alert(1)">', 'url' => $request->url(true)], 'audit')
把日志通道单独配成 audit，避免和 debug 日志混在一起；在 config/log.php 中为 audit 设置独立文件和最大大小
敏感值脱敏：记录 user_phone 时只记 138****1234，但保留原始长度和格式特征（比如是否含 +86、括号、空格），这对识别自动化扫描器很重要

真正难的不是抓数据，是区分哪些是真实攻击、哪些是前端 bug 或测试误触。日志里混着 100 条带 的输入，其中 99 条来自富文本编辑器的正常 HTML，剩下 1 条才是漏洞利用——筛选规则和上下文还原，比采集本身花时间得多。