thinkphp 5.1+ 废除自动过滤，须显式使用验证器（如 validate()）统一校验输入，并在模板中用 {$var}（自动 htmlspecialchars）或 {:$var}（不转义）安全输出，禁用控制器层手动 htmlspecialchars。
ThinkPHP 5.1+ 中 htmlspecialchars 不再自动套在 I() 上，怎么办？
ThinkPHP 3.x 的 I() 函数默认对输入做 htmlspecialchars 转义，但 5.1+ 版本已彻底移除 I()，且框架不再对 input()、param() 等函数结果自动过滤。这不是“漏了”，而是设计转向「显式过滤 + 集中验证」——你得自己决定哪里要转义、哪里要校验、哪里要拒绝。
直接在控制器里写 htmlspecialchars(input('name')) 是错的：它只防 XSS，不防 SQL 注入，也不处理空格截断、整型溢出、JSON 注入等场景。
- 用户提交
name=%3Cscript%3Ealert(1)%3C/script%3E，手动htmlspecialchars能防前端渲染，但若你把它拼进 SQL（如"SELECT * FROM user WHERE name = '".input('name')."'"），照样被注入 -
input('id')返回字符串"123abc"，强转(int)得 123，但更安全的做法是用验证规则限定为number|between:1,999999 - JSON 字段（如
data）若用json_decode(input('data'))，没加JSON_THROW_ON_ERROR标志，失败时静默返回null，可能引发后续逻辑异常
用 validate() 替代手写 if-else 过滤逻辑
ThinkPHP 的验证器不是“可选插件”，它是输入防护的第一道闸门。所有外部输入（param()、post()、get()、file()）都应该先过验证器，而不是先取值再判断。
示例：定义一个 app\validate\UserValidate
class UserValidate extends Validate
{
protected $rule = [
'name' => 'require|alphaNum|length:2,20',
'email' => 'require|email',
'age' => 'number|between:1,120',
'bio' => 'max:500',
];
protected $message = [
'name.require' => '姓名不能为空',
'name.alphaNum' => '姓名只能是字母或数字',
];
}
控制器中调用：
$data = input();
$result = $this->validate($data, 'app.validate.UserValidate');
if (true !== $result) {
$this->error($result); // 自动返回 message 中定义的提示
}
- 验证器默认开启
filter（如email规则会自动 trim + strtolower），无需额外调trim() -
number规则会尝试转为整型/浮点，失败则报错；比is_numeric()更严格（后者接受"123e4"） - 敏感字段（如
content）可配合callback规则调用自定义函数，例如过滤 script 标签：'content' => 'callback:filterXSS'，然后在验证器里写protected function filterXSS($value) { return preg_replace('/<script>]*>(.*?)<\/script>/is', '', $value); }</script>
input() 和 param() 的区别影响过滤策略
很多人以为 param() 就是 get() + post() 合并，其实它还合并了 route() 变量，并且**按优先级覆盖**：POST > GET > ROUTE。这意味着如果你路由里有 id，又在 URL 里带 ?id=1，再 POST id=2，param('id') 拿到的是 2 —— 但验证器不会知道这个值来自哪一层。
- 需要区分来源时，必须用
get('id')或post('id')，不能依赖param() -
input('id/s')中的/s表示强制字符串类型，避免自动转换；而input('id/d')强制整型，失败返回 0 —— 但这属于“兜底转换”，不能替代验证规则中的number或integer - 数组参数如
user[name]、user[email]，input('user/a')可批量获取并声明为数组类型，验证器里对应写'user.name' => 'require'即可，无需手动foreach
模板输出时别依赖控制器层的过滤，用 {:htmlentities($var)} 或 {$var|htmlspecialchars}
控制器里对变量做 htmlspecialchars() 是反模式：一旦该变量还要用于 JSON 输出、日志记录、缓存键生成，就会出现双重转义（比如把 & 变成 &）。ThinkPHP 模板引擎的过滤机制才是正解。
- 普通变量输出一律用
{$name}，配合默认开启的default_filter（配置在template.default_filter，默认是htmlspecialchars） - 明确不需要转义的场景（如富文本内容），用
{:$content}（冒号开头）或{:raw($content)} - 如果关掉了全局
default_filter，务必在每个变量后补|htmlspecialchars，不要漏掉{$title|htmlspecialchars}、{$desc|htmlspecialchars}这类地方
真正容易被忽略的，是那些“看起来不像输出”的地方：比如用 assign() 传给 JS 的变量，$this->assign('config', json_encode($data))，这里 $data 必须确保不含未转义的双引号或 ，否则直接破坏 HTML 结构——这种场景更适合用 <code>json_encode($data, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG)，而不是靠模板过滤。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
