thinkphp新手后台开发需规避五大安全风险：路由未隔离致api失效，须删除兜底规则并显式声明api域；cors预检失败需用官方插件或正确设置header；sql注入须禁用db::query()用户输入，改用查询构造器；模板输出必须转义防xss；文件上传须双重校验类型与后缀、脱离web目录存储并重命名。
新手用ThinkPHP写第一版后台时，常在不知情下埋下RCE、SQL注入、跨域失效等高危隐患——不是代码能力差，而是几个关键配置点没对齐框架当前版本的安全要求。
路由未隔离，API请求被前端兜底吞掉
新手常把所有未匹配路径 fallback 到 index/index，结果 /api/login 根本没进控制器，浏览器只显示空白页或 404。
第一步：删掉 Route::rule('[:path]', 'index/index') 这类无差别兜底规则；
第二步：显式声明 API 域名或前缀，例如 Route::domain('api', function () { Route::group('v1', ['app\api\v1']); });；
第三步：前端页面路由加扩展限制 → Route::rule('[:path]', 'index/index')->ext('html')，避免匹配 .json 请求。
【必须关闭 url_route_must => true】——开启后未定义的 API 路径直接 404，连中间件都进不去。
CORS预检失败，前端控制台只报“CORS error”
浏览器发 OPTIONS 请求时后端没响应，实际是预检被拦死，但错误信息不明确，新手容易卡在“明明写了 header 却没用”上。
方法一：用官方插件（推荐）→ composer require topthink/think-cors，再在 config/cors.php 中设 allowed_origins 为具体域名数组，如 ['http://localhost:5173']；
方法二：手动处理中间件 → 在 response 对象上调用 $response->header()，而非原生 header()，否则 TP8 会覆盖它；
方法三：带 credentials 时，Access-Control-Allow-Origin 绝不能写 *，必须填完整协议+域名，且 Access-Control-Allow-Credentials 必须设为 true。
SQL查询拼接字符串，一条语句就导致数据库被拖库
Db::query("SELECT * FROM users WHERE username = '$username'") 这种写法在 ThinkPHP 里完全绕过参数绑定，用户输入 ' OR '1'='1 就能查出全表。
改用查询构造器：Db::name('users')->where('username', $username)->find()；
必须用字符串条件时，强制走占位符：Db::name('users')->whereRaw('username = ?', [$username])->find()；
永远禁用 Db::query() 接用户输入，哪怕只有一处漏掉，整站就暴露在 sqlmap 扫描之下。
模板输出不转义，XSS漏洞悄无声息上线
控制器 assign 的内容，模板中直接写 {$content}，攻击者提交 <script>alert(1)</script> 就能弹窗，更严重的是窃取 Cookie。
模板中统一用 {:htmlspecialchars($content)} 或 {$content|htmlspecialchars}；
若需保留部分 HTML 标签，用 strip_tags() 配合白名单过滤，别信任何“前端已校验”的说法；
ThinkPHP 6 默认不自动转义，这点和 Laravel 不同，新手极易忽略。
文件上传不做后缀+类型双重校验，一句话木马直接落盘
只校验 $_FILES['file']['name'] 后缀为 .jpg，攻击者把 shell.php 改成 shell.jpg.php 就绕过；或者 Content-Type 伪造为 image/jpeg，实际传的是 PHP 代码。
第一步：用 move_uploaded_file() 前，调用 getimagesize() 或 finfo_file() 实际读取文件头，确认真实类型；
第二步：存储路径必须脱离 Web 可访问目录，例如放在 /data/upload/ 而非 public/uploads/；
第三步：生成新文件名，用 uniqid() + 随机字符串重命名，彻底丢弃原始文件名。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
