thinkphp6防sql注入核心是启用pdo真实预处理并禁用模拟，统一用where()数组传参或原生sql问号占位；防xss须显式htmlspecialchars转义模板输出；csrf需token会话绑定与一次性校验；http安全头和上下文感知输入验证为纵深防御补充。
一、使用参数化查询拦截SQL注入
ThinkPHP6底层基于PDO，启用真正的预处理语句可将用户输入与SQL结构彻底分离，使攻击者无法改变查询逻辑。关键在于禁用模拟预处理并确保类型绑定生效。
1、在数据库配置中显式关闭PDO模拟预处理：'ATTR_EMULATE_PREPARES' => false。
2、统一使用Query对象的where()链式调用，例如：Db::name('user')->where('id', input('get.id'))->find()，框架自动完成整型绑定。
3、若需原生SQL，必须使用问号占位符配合数组参数：Db::query("SELECT * FROM user WHERE status = ? AND level > ?", [1, 5])。
4、禁止拼接字符串构造SQL，尤其避免对input()结果直接拼入SQL语句，即使已用(int)或filter_var强转也不可替代参数化。
二、模板输出强制HTML转义防御XSS
ThinkPHP6默认开启模板变量自动转义，但该机制仅在使用{$var}语法时生效；一旦使用{$var|raw}或赋值给JS变量等场景，即绕过防护，必须人工补救。
1、所有动态插入HTML内容的位置，均须调用htmlspecialchars()，且三参数完整：htmlspecialchars($content, ENT_QUOTES | ENT_HTML5, 'UTF-8')。
2、在控制器中向模板传递用户数据前预先转义，例如：$this->assign('intro', htmlspecialchars(input('post.intro'), ENT_QUOTES | ENT_HTML5, 'UTF-8'))。
3、富文本内容不可依赖htmlspecialchars()，必须引入HTMLPurifier库并配置白名单标签，否则<script>、onerror等仍可执行。</script>
4、向JavaScript变量注入PHP变量时，必须用json_encode()包裹并指定JSON_HEX_TAG、JSON_HEX_AMP等标志：var desc = = json_encode(input('post.desc'), JSON_UNESCAPED_UNICODE | JSON_HEX_TAG | JSON_HEX_AMP) ?>;。
三、CSRF Token会话绑定与一次性校验
CSRF防护失效主因是Token未与当前会话强绑定或未及时失效。ThinkPHP6不内置全局CSRF中间件，需手动集成并确保每次敏感操作均触发验证。
1、在表单渲染前生成并存入session：session('csrf_token', bin2hex(random_bytes(32)))，同时输出隐藏字段：。
2、在接收POST请求的控制器方法开头立即校验：if (!hash_equals(session('csrf_token'), input('post.csrf_token'))) { throw new HttpException(400, 'CSRF token mismatch'); }。
3、校验通过后立即将session中Token置空：session('csrf_token', null)，防止重放；普通非资金类表单可保留但需限制有效期（如30分钟）。
4、对AJAX请求，在header中携带自定义token字段，并在中间件中统一拦截验证，避免每个接口重复写校验逻辑。
四、HTTP安全头配置加固边界防御
安全头属于纵深防御层，无法替代业务逻辑防护，但能显著提升浏览器侧拦截恶意行为的能力，尤其对XSS和点击劫持类攻击效果明确。
1、在应用公共控制器的initialize()方法中统一设置：header('Content-Security-Policy: default-src \'self\'; script-src \'self\' \'unsafe-inline\' cdn.example.com; object-src \'none\'; base-uri \'self\';');。
2、禁用MIME类型嗅探以阻止IE/Edge加载非预期类型资源：header('X-Content-Type-Options: nosniff');。
3、防止页面被嵌入恶意站点iframe：header('X-Frame-Options: DENY');；若需允许特定域名嵌入，改用ALLOW-FROM https://trusted.com。
4、启用XSS过滤器作为最后防线（仅适用于旧版IE）：header('X-XSS-Protection: 1; mode=block');。
五、输入验证与上下文感知过滤
输入过滤不是为“清洗”数据，而是为确认其符合当前上下文的语义约束。同一输入在不同用途下需采用不同策略，不能全局一刀切。
1、对ID、页码等整数型参数，使用ThinkPHP验证器规则：['id' => 'require|number|between:1,9999999']，拒绝浮点、负数、超长数字。
2、对邮箱、URL、手机号等格式化字段，优先使用filter_var()验证：filter_var(input('post.email'), FILTER_VALIDATE_EMAIL)，而非正则硬匹配。
3、对文件上传路径、目录名等涉及文件系统操作的输入，严格白名单控制字符集，禁用点号、斜杠、反斜杠：preg_match('/^[a-zA-Z0-9_-]+$/u', $filename)。
4、禁止将任何用户输入直接用于system()、exec()、shell_exec()等函数，必须改用escapeshellarg()包裹单个参数，且仅限可信白名单命令。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
