thinkphp中统一过滤用户输入参数需按版本选择方案：tp5.0用default_filter或request_filter_rules；tp5.1兼容default_filter与全局中间件；tp6推荐验证器filter或路由分组中间件。
如果您在ThinkPHP项目中需要对所有用户输入参数实施统一的安全处理，防止XSS、HTML注入等风险，则必须通过框架提供的全局过滤机制进行配置。以下是具体可行的配置方式：
一、配置application/config.php中的default_filter
该方式适用于ThinkPHP 5.0及5.1版本，通过修改全局默认过滤函数实现对所有input()、request()->param()等获取的数据自动清洗。其原理是Request类在input()方法内部调用filter()时，若未显式传入filter参数，则自动应用此配置值。
1、打开application/config.php文件。
2、在配置数组中添加或修改'default_filter'项，例如：'default_filter' => 'htmlspecialchars,strip_tags,trim'。
3、确保该配置位于return [ ... ]结构内，且键名拼写准确无误。
4、保存后重启Web服务（如Apache或Nginx），使配置生效。
注意：TP6.x已废弃default_filter配置，此方法不适用于ThinkPHP 6。
二、在app/middleware.php中注册全局中间件过滤
该方式兼容TP5.1与TP6.x，通过中间件在请求生命周期早期拦截并清洗原始GET/POST数据，再合并回Request对象，从而影响后续所有input()调用结果。其核心在于避免绕过中间件直接读取$_GET/$_POST。
1、创建中间件类，例如app/middleware/GlobalInputFilter.php，内容包含对$request->get()和$request->post()的遍历清洗逻辑。
2、使用htmlspecialchars()或filter_var($value, FILTER_SANITIZE_STRING)逐字段处理字符串值，跳过数组、对象等非标量类型。
3、调用$request->mergeParam($cleanedData)（TP6.1+）或通过反射修改$request->param属性（旧版TP6）以注入清洗后数据。
4、在app/middleware.php中将该中间件加入全局中间件数组，例如：[\app\middleware\GlobalInputFilter::class]。
关键提示：必须在handle()方法中return $next($request)，否则请求将中断。
三、启用request_filter_rules全局规则集（TP5.0专属）
该方式为TP5.0特有机制，通过扩展配置项request_filter_rules定义字段级白名单过滤策略，比default_filter更精细，可规避全量清洗导致JSON字段损坏等问题。
1、在application/config.php中添加'request_filter_rules'配置项。
2、设定通配符规则，例如：'*' => ['trim', 'htmlspecialchars']，表示所有字段均执行trim与转义。
3、也可指定字段白名单，例如：'user' => ['htmlspecialchars'], 'content' => ['htmlspecialchars_decode']。
4、确认'request_filter' => true已开启，否则规则不加载。
注意：此配置仅TP5.0支持，TP5.1+及TP6均不可用。
四、基于验证器的字段级filter声明（TP6推荐）
该方式不依赖全局配置，而是将过滤逻辑绑定至验证规则本身，适用于需差异化处理不同接口字段的场景。其原理是在验证器实例调用check()时，对匹配字段执行指定过滤函数，并仅作用于验证流程内部数据副本。
1、在验证器类（如app/validate/UserValidate.php）的规则数组中，为字段添加'filter'键，例如：'title|标题' => 'require|filter:htmlspecialchars'。
2、确保使用实例化方式调用验证，而非静态调用：(new UserValidate())->check($data)。
3、若需批量过滤多个字段，可在scene中统一配置'filter' => ['name' => 'trim', 'email' => 'strtolower']。
4、调用前必须先执行data($data)绑定原始数据，否则filter无效。
重要提醒：filter操作不会修改原始$data数组，仅影响验证器内部副本。
五、通过路由中间件按分组启用过滤（精准控制）
该方式适用于仅需对特定路由前缀（如/admin/、/api/v1/）启用过滤，而排除登录页、静态资源等无需清洗路径的场景。其优势在于避免全局性能损耗与误伤合法数据。
1、在route/middleware.php中定义分组中间件，例如：Route::group('admin', function () { ... })->middleware('global_filter');。
2、创建app/middleware/GlobalFilter.php，逻辑同第二项中间件，但仅对匹配分组的请求执行。
3、在中间件handle()中加入路径判断，例如：if (strpos($request->url(), '/public/') === 0) return $next($request);。
4、注册该中间件至分组，确保其位于路由定义之后、->middleware()调用之前。
务必检查中间件是否被静态资源请求触发，否则可能导致CSS/JS加载失败。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
