不能仅配 default_filter 就算完事，因其只对 input() 等函数生效，绕过即失效；默认缺 ent_quotes 和 'utf-8' 易被绕过；且对属性、js、url 等上下文无效，无法防御 onerror="alert(1)" 等攻击。
ThinkPHP 没有“一键开启 XSS 防护”的开关，default_filter 配置不可靠，模板变量默认不转义，依赖它等于裸奔。
为什么不能配 default_filter 就算完事
这个配置只对 input()、I() 等框架输入函数生效，绕过它们（比如直接读 $_POST、从数据库查出后 echo）就完全失效；它默认不传 ENT_QUOTES 和 'UTF-8'，老 PHP 版本下可能被双字节编码绕过；对 JSON、JS 内联、URL 属性等上下文毫无作用。
- 常见错误：
<script>var name = "<?php echo $name; ?>"</script>—— 即使开了default_filter，照样执行 XSS -
htmlspecialchars()必须手动调用，且参数写全：htmlspecialchars($str, ENT_QUOTES | ENT_HTML5, 'UTF-8') - 模板里别信
{$name|htmlspecialchars}，它缺ENT_QUOTES，单引号不转义，onerror="alert(1)"直接绕过
HTML 输出必须用 htmlspecialchars()，但得看位置
纯文本内容、段落内嵌、标题等 HTML body 文本，用 htmlspecialchars() 是对的；但属性值（如 title、data-id）、JS 字符串、URL 参数，各自有更严格的规则。
- HTML 元素内容：
{:htmlspecialchars($content, ENT_QUOTES | ENT_HTML5, 'UTF-8')} - HTML 属性值（双/单引号包裹）：
title="{:htmlspecialchars($title, ENT_QUOTES, 'UTF-8')}" - JS 字符串内嵌：
<script>var data = <?php echo json_encode(['name' => $name], JSON_UNESCAPED_UNICODE | JSON_HEX_TAG | JSON_HEX_AMP); ?></script> - 绝对不要手拼 JSON：
"name": "<?php echo htmlspecialchars($name); ?>"是典型错误写法
富文本必须交给 HTMLPurifier，htmlspecialchars() 在这儿是错的
用户用 TinyMCE、wangEditor 提交的带格式内容，htmlspecialchars() 会把所有 <p></p>、<strong></strong> 全转成乱码；而 strip_tags() 或正则 DIY 过滤，根本防不住 <img src="x" onerror="alert(1)"> 或 <svg onload="alert(1)"></svg> 这类变体。
- 安装：
composer require ezyang/htmlpurifier（别全局装） - 禁用默认配置：
HTMLPurifier_Config::createDefault()放行太多危险行为，必须显式白名单 - 关键配置项：
HTML.Allowed（如'p,b,i,u,ol,ul,li,a[href|title],img[src|alt]'）、URI.AllowedSchemes（只留['http', 'https', 'mailto']）、Core.RemoveScriptContents（true） - 别在控制器里每次 new 实例，封装成服务类（如
app('purify')->clean($html)），复用缓存、避免重复解析 DTD
中间件里别瞎遍历 $_REQUEST 做过滤
有人想“一劳永逸”，在中间件里 foreach $_REQUEST 全部过一遍 htmlspecialchars()，这会导致数据污染：同一字段可能既用于 HTML 渲染，又用于生成 JSON 或写入数据库，提前转义后无法还原。
- 真正该用中间件的，是补漏 —— 比如明确知道某些接口绕过了
input()，硬编码读了$_GET['q']，那就只针对这几个 key 做处理 - 千万别改
$request对象本身，TP6 的 Request 是只读快照，强行修改会引发不可预测行为 - 数据库存原始 HTML 完全 OK，只要读出来后不裸输出 —— 存什么就存什么，展示时再按上下文决定怎么处理
最易被忽略的一点：XSS 防御不是“有没有开某个配置”，而是“每个输出点是否用了正确的转义方式”。htmlspecialchars() 不是万能解药，json_encode() 不适用于 HTML，HTMLPurifier 不能当 htmlspecialchars() 用 —— 错配上下文，比不处理还危险。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
