thinkphp多语言功能不防目录遍历，lang::setlocale()等函数不校验输入，必须在调用前严格白名单过滤并规范路径拼接。
直接说结论：ThinkPHP 多语言本身不防目录遍历，Lang::setLocale() 传入非法值（如 ../../etc/passwd）不会自动过滤，必须手动校验白名单。
Lang::setLocale() 不校验输入，必须自己加白名单
ThinkPHP 的 Lang::setLocale() 和 Lang::setLang() 都是“照单全收”型函数，传啥就设啥。它不会检查你给的 $lang 是否在 allow_lang_list 里，也不会拒绝含 ..、/、%2e%2e 的字符串。
- 常见错误：从 URL 参数
lang=ja-jp直接取值并调用Lang::setLocale(input('lang'))，没做任何过滤 - 后果：攻击者可构造
?lang=zh-cn../config/database，若路径拼接逻辑有缺陷（比如手动拼lang/{$lang}/common.php），可能触发文件读取或警告 - 正确做法：只允许预设值，例如：
$allowed = ['zh-cn', 'en-us', 'ja-jp', 'ko-kr']; $lang = input('lang', 'zh-cn'); $lang = in_array($lang, $allowed) ? $lang : 'zh-cn'; Lang::setLocale($lang);
语言包路径拼接时别用用户输入拼字符串
ThinkPHP 默认加载路径为 app/lang/{lang}/common.php，但如果你在中间件或启动逻辑中手动拼接路径（比如用 include lang/$lang/common.php），就极易中招。
- 绝对禁止：
include 'lang/' . $lang . '/common.php';——$lang未过滤时就是漏洞入口 - 推荐方式：始终通过
Lang::load()加载，它内部做了基础路径规范化（但仍依赖你传入合法$lang） - 更稳妥：用
think acadeLang::getLangSet()获取当前已设置的语言标识，再结合app()->getAppPath() . 'lang/' . $lang . '/common.php'拼接时，先str_replace(['..', '\', '/'], '', $lang)并强制小写连字符格式
为什么 Lang::detect() 也不能信？
Lang::detect() 默认从 $_GET['lang']、Accept-Language 头、Cookie 三处读值，但它只做简单映射（比如把 zh-CN 转成 zh-cn），不校验是否在白名单内，也不阻止路径穿越字符。
- 典型误用：在中间件里写
Lang::detect(); Lang::get();就完事，以为“框架自动处理了” - 实际风险：如果
detect_var配成lang，而用户传?lang=..%2f..%2fetc%2fpasswd，虽不会被加载，但日志里会暴露出尝试行为，且部分自定义逻辑可能误用该值 - 安全姿势：检测后立刻白名单过滤，例如：
$detected = Lang::detect(); $lang = in_array($detected, config('lang.allow_lang_list')) ? $detected : config('lang.default_lang'); Lang::setLocale($lang);
第三方扩展语言包加载要特别小心
手动调用 Lang::load($path) 加载 vendor 扩展语言包时，$path 若拼接了用户可控参数（比如模块名、插件名），同样存在遍历风险。
- 错误示例：
Lang::load(EXTEND_PATH . '/myplugin/lang/' . input('plugin') . '/zh-cn.php'); - 正确做法：
input('plugin')必须限定为字母数字下划线，且提前校验插件是否存在；路径一律用realpath()+strpos()判断是否仍在EXTEND_PATH下 - 额外提醒：扩展语言包默认不启用自动加载，
Lang::load()是唯一入口，这里失控等于完全暴露
最常被忽略的一点：白名单校验必须在 Lang::setLocale() 之前完成，且不能只做一次——比如在控制器里判断，但中间件已经执行了翻译调用，此时语言环境已固定，后续校验只是摆设。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
