thinkphp模板中变量输出默认不转义，需显式使用{\$var|html}等过滤器防xss；json接口需后端预处理敏感字段；避免滥用html_entity_decode与raw；default_filter配置非万能，须按上下文分层设防。
ThinkPHP模板中输出变量不自动转义怎么办
默认情况下，ThinkPHP 5.1+ 的 {\$var} 是**不转义**的，直接输出原始内容——这是 XSS 高危源头。别信“框架默认安全”，它只在你显式用 {:htmlspecialchars(\$var)} 或 {\$var|html} 时才处理。
常见错误现象：用户提交 <script>alert(1)</script>，页面直接执行；后台富文本内容没过滤就渲染，导致管理员页面被劫持。
- 使用场景：所有用户可控输入的输出点，包括表单回显、评论列表、后台日志展示
-
{\$var|html}是最轻量的补救方式，等价于htmlspecialchars(\$var, ENT_QUOTES, 'UTF-8') - 注意
{\$var|default='-'|html}中过滤器顺序不能颠倒，|html必须在最后，否则空值默认后才转义，可能漏掉 - 性能影响几乎为零，但别滥用在纯数字或已知安全字段上（比如 ID、状态码）
ThinkPHP控制器里返回 JSON 时为什么还会触发 XSS
JSON 接口本身不渲染 HTML，但前端用 innerHTML 直接插入响应内容，就等于把攻击载荷又喂给了 DOM。ThinkPHP 的 json() 方法只做数据编码，不干预前端怎么用。
典型错误：前端写 el.innerHTML = data.content，而 data.content 来自数据库未过滤字段。
- 后端能做的底线：在 API 返回前对敏感字段预处理，例如
$data['content'] = htmlspecialchars($data['content'], ENT_QUOTES, 'UTF-8') - 更稳妥的做法是统一用
strip_tags()+htmlspecialchars()双重清理，尤其面对富文本编辑器提交的内容 - 不要依赖前端 JS 过滤——用户可以绕过前端直接调用接口，再把结果粘贴进恶意页面
- ThinkPHP 6 的
think\facade\View::assign()不影响 JSON 输出，别混淆视图层和接口层的处理逻辑
使用 html_entity_decode() 后又输出，XSS 就回来了
这是个隐蔽坑：有些业务需要还原 HTML 实体（比如从数据库读取已转义内容再做关键词高亮），但还原后如果没二次过滤就直接进模板，等于把闭合标签和脚本全放出来了。
错误示例：{$content|html_entity_decode|raw} —— |raw 会彻底禁用转义，非常危险。
- 必须明确区分“存储时转义”和“输出时转义”：推荐存储原始内容，输出时按需过滤，而不是反向解码
- 如果真要解码，解完必须立刻走一遍
htmlspecialchars()，例如htmlspecialchars(html_entity_decode(\$str), ENT_QUOTES) - ThinkPHP 的
|html过滤器不支持链式解码，它只做单向转义，别指望{\$var|html_entity_decode|html}能兜底 - 富文本场景建议用白名单过滤（如
HTMLPurifier），而不是靠实体编解码来回折腾
开启 default_filter 配置是不是一劳永逸
不是。ThinkPHP 的 default_filter 默认是空数组，即使你配成 ['html']，它也只对模板中未指定过滤器的 {\$var} 生效，对 {:xxx()}、{\$var|default='x'} 或 PHP 原生 echo 完全无效。
更麻烦的是：开启后所有变量无差别转义，可能导致 URL、JS 变量、CSS 类名被破坏，比如 {\$url} 变成 http%3A%2F%2F...，页面跳转失败。
- 配置路径是
config/template.php中的default_filter项 - 仅建议在纯内容展示型项目中启用，且必须配合白名单机制（例如对
url、js字段单独 bypass） - 一旦启用，所有
{:action()}类动态函数输出也要检查是否被误转义 - ThinkPHP 5.0 和 5.1 的
default_filter行为不一致，5.0 不支持数组写法，容易配错静默失效
真正难的不是加一两个过滤器，而是厘清每个变量的来源、用途和上下文——用户昵称要防 script，但也要允许 和 ©；商品描述要保留
，但得剥离
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
