ThinkPHP如何实现敏感词过滤中间件_自定义输入处理扩展-ThinkPHP-PHP中文网

thinkphp中间件中应通过$request->post()或$request->get()精准获取参数，json请求需用$request->json(true)；敏感词过滤须在路由前执行，避免缓存污染，并统一返回json错误响应。

thinkphp如何实现敏感词过滤中间件_自定义输入处理扩展

中间件拿到的是 $request 对象，不是原始 $_POST 或 $_GET。直接读取 input() 方法返回的数据才可靠，否则可能绕过验证、漏过滤。

$request->param() 会合并 GET/POST/ROUTE，适合通用场景；但敏感词需区分来源时，用 $request->post() 或 $request->get() 更精准
如果用了 JSON 请求体（Content-Type: application/json），必须调用 $request->json(true)，否则 param() 拿不到数据
注意：中间件执行顺序影响结果——必须放在路由调度前（比如 app/middleware.php 中靠前位置），否则控制器已处理完输入，过滤就失效了

简单关键词用 strpos 足够，快且无正则开销；但要支持模糊、通配或大小写不敏感，就得上 preg_match，代价是性能下降明显，尤其词库大时。

纯文本匹配推荐 stripos（忽略大小写）+ 预加载敏感词数组，避免每次 fopen 读文件
别在中间件里实时读取 ./config/sensitive_words.php，IO 会拖慢所有请求；启动时用 think\facade\Config::load() 加载到内存更稳
正则模式下，词库含特殊字符（如 .、*）必须 preg_quote($word, '/') 转义，否则报 PregException: Compilation failed

不能只 dump() 或 exit，那样前端收不到结构化响应。ThinkPHP 推荐统一返回 json 格式错误，并中断后续流程。

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

调用 $response = response(['code' => 400, 'msg' => '含敏感词'], 400)->contentType('application/json') 后，必须 return $response
别用 throw new \think\Exception('xxx')，它会触发全局异常处理，可能被日志捕获但前端得不到明确提示
若需保留原始参数供调试，可在响应里加 'rejected_field' => $field_name，但生产环境建议关掉，防信息泄露

常见原因是表单用了 enctype="multipart/form-data" 且含文件上传字段，此时 $request->post() 默认为空——ThinkPHP 把这类请求的 body 解析逻辑锁死了，必须手动提取。

检测是否为文件上传请求：$request->isPost() && $request->file() 存在时，改用 $request->param(false, false)（第二个 false 表示不自动过滤 XSS）
某些 API 客户端（如 Postman）发 JSON 时没设 header，$request->isJson() 返回 false，导致走错分支，建议加兜底逻辑：if (!$data) $data = json_decode(file_get_contents('php://input'), true) ?: [];
缓存中间件（如 CacheMiddleware）若放在敏感词中间件之前，会导致脏数据被缓存——顺序错了，问题就藏得深

真正麻烦的不是写过滤逻辑，而是各种输入来源的解析差异和中间件加载时机。一个没注意，$request->post('content') 就是空的，你还以为词库没生效。