ThinkPHP事件怎么做数据过滤_ThinkPHP过滤方法【说明】-ThinkPHP-PHP中文网

thinkphp事件机制不自动过滤数据，需在onbeforewrite等回调中手动调用htmlspecialchars、trim等函数处理字段；且仅当通过data()->save()链式调用时才触发，save(['field'=>'val'])会绕过事件。

thinkphp事件怎么做数据过滤_thinkphp过滤方法【说明】

ThinkPHP 的事件机制本身不提供数据过滤能力，on* 类事件（如 onBeforeWrite、onAfterRead）只是钩子，你得自己在回调里写过滤逻辑——它不会自动帮你调 htmlspecialchars 或 trim。

事件里怎么安全地做字段过滤？

事件是“时机”，不是“过滤器”。比如你想在模型写入前清理 content 字段，不能指望 onBeforeWrite 自动生效，必须显式操作当前数据对象。

在模型中定义 protected $event = ['before_write' => 'filterContent']，然后写方法：

protected function filterContent($model)
{
    if (isset($model->content)) {
        $model->content = htmlspecialchars(trim($model->content));
    }
}

注意：事件回调里的 $model 是当前实例，但修改的是内存值；如果用 $model->save(['content' => $raw]) 这种单参数写法，会绕过事件——因为没走 data() 流程，before_write 根本不触发
TP6 不再支持 create()，所以别幻想“自动绑定事件+自动过滤”，必须确保数据是通过 data()->validate()->save() 链式调用进入的

为什么 onBeforeWrite 有时不执行？

常见原因是调用路径跳过了事件触发点。ThinkPHP 6 的事件只在模型的 save()、update()、insert() 等方法内部调用 trigger('before_write') 时才生效。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

$model->save(['content' => '<script>'])</script> → 直接写库，onBeforeWrite 不触发
$model->data(['content' => '<script>'])->save()</script> → 触发，但前提是 $model 已绑定事件且未被禁用
检查是否在模型中误写了 protected $event = [] 清空了默认事件，或用了 withoutEvent() 静默跳过
事件方法名必须与配置严格匹配：before_write 对应 onBeforeWrite，驼峰命名和下划线命名不能混用

事件过滤 vs 中间件过滤，该选哪个？

事件适合字段级、模型级的精准控制（比如只对文章内容做 HTMLPurifier，不对 ID 做任何处理）；中间件适合请求级统一清洗（比如所有 POST 字符串都 trim + strip_tags）。

事件缺点：无法覆盖 where 查询中的参数、不处理 JSON body、对关联写入无效
中间件优点：一次配置，全站生效；缺点：太粗，容易误伤（比如把数字 ID 当字符串 trim 成空）
真实项目建议分层：中间件做基础清洗（trim、stripslashes），事件做业务敏感字段净化（content 用 HTMLPurifier，email 用 filter_var(..., FILTER_SANITIZE_EMAIL)）
别在事件里调 input() 或 Request::param()——事件里拿到的是模型实例，不是请求对象；要取原始请求数据，得从 request() 全局函数拿，但那已脱离事件上下文