怎样在ThinkPHP中实现接口参数的全局过滤【安全】-ThinkPHP-PHP中文网

thinkphp 6 应在 app/middleware.php 中注册自定义全局参数过滤中间件（如 globalparamfilter），于 handle 方法中调用 $request->param() 后递归处理，优先过滤 json 请求体与嵌套数组，避免依赖已弃用的 filter_var 或不可靠的 request.filter 配置。

怎样在thinkphp中实现接口参数的全局过滤【安全】

ThinkPHP 6 的 `app_middleware` 是最稳妥的全局过滤入口

所有接口请求都经过中间件，这里做参数过滤既统一又可控。别在每个控制器里重复写 htmlspecialchars 或 strip_tags，容易漏、难维护。

在 app/middleware.php 中注册中间件，例如：

return [
    \think\middleware\CheckRequestCache::class,
    \app\middleware\GlobalParamFilter::class, // 自定义中间件
];

注意：中间件顺序很重要，GlobalParamFilter 应放在路由解析之后、控制器执行之前（即不要放在最前，否则 $request->param() 还没组装好）。

过滤时机选 handle 方法中调用 $request->param() 后处理，而非直接操作 $_GET/$_POST —— ThinkPHP 已封装了参数合并逻辑，绕过它会导致 input('name') 行为不一致
不要用 filter_var($val, FILTER_SANITIZE_STRING) —— PHP 8.1+ 已弃用，且对多字节字符（如中文）处理不可靠
若需保留部分 HTML 标签（如富文本），过滤逻辑必须白名单控制，不能简单 strip_tags 后再拼接

`Request::filter` 配置只影响 `input()`，不等于全局过滤

ThinkPHP 提供 request.filter 配置项，但它仅作用于 input()、param() 等方法返回值，对直接访问 $_POST、$request->post() 或 JSON body 解析结果无效。

配置示例（config/request.php）：

'filter' => 'htmlspecialchars',

这看起来像“全局”，但实际有明显局限：

Miller CSV TSV JSON 数据处理器

Miller (mlr) 是一个命令行工具，用于查询、整形和重新格式化名称索引数据，如 CSV、TSV、JSON 和 JSON Lines。它将 awk、sed、cut、join 和 sort 的功能整合到一个专为结构化数据处理而构建的单一工具中。

下载

对 input('content', '', 'html_entity_decode') 这类显式指定过滤函数的调用，配置会被覆盖
JSON 接口（Content-Type: application/json）默认走 $request->body() + json_decode，不经过 filter 链路
上传文件字段（file 类型）不会被该配置处理，需单独校验

JSON 请求体必须手动解码并过滤嵌套数组

ThinkPHP 默认不自动过滤 JSON 数据，$request->param() 对 JSON 请求只做一层解码，深层嵌套字段（如 {"user":{"name":"<script>..."}}</script>）里的字符串不会被 request.filter 触达。

正确做法是在中间件中判断请求类型，主动解码并递归过滤：

if ($request->isPost() && $request->header('content-type') === 'application/json') {
    $data = json_decode($request->body(), true);
    $filtered = $this->arrayHtmlSpecialChars($data);
    // 替换原始参数（关键！）
    $request->merge($filtered);
}

其中 arrayHtmlSpecialChars 需自己实现，注意跳过非字符串类型（如数字、布尔、null），避免破坏数据结构。