thinkphp 默认在模板编译阶段为 {$var} 插入 htmlspecialchars($var, ent_quotes, 'utf-8')，转义发生在 runtime/view/ 下的编译文件中，仅作用于普通变量输出，不作用于 {:} 或 {php}；编码强制 utf-8，不随 default_charset 变动，且会二次转义已实体化的字符。
ThinkPHP 中 htmlspecialchars 的默认行为在哪触发
ThinkPHP 默认对模板变量输出做 HTML 转义，本质就是调用 PHP 原生的 htmlspecialchars，但不是在你写 {$name} 时实时调用，而是在模板编译阶段生成 PHP 代码时插入的。比如 {$title} 编译后实际是：echo htmlspecialchars($title, ENT_QUOTES, 'UTF-8');
这意味着：不手动关闭，所有未加修饰符的变量输出都会被转义；且编码强制为 UTF-8，不随 default_charset 配置变动。
- 转义发生在模板引擎编译后的 PHP 文件里（位于
runtime/view/下），不是运行时拦截 - 只作用于普通变量输出语法
{$var}，不作用于{:function()}或{php}...{/php} - 若变量已是 HTML 实体（如
<），会被二次转义成，导致页面显示异常
如何安全地输出已过滤的 HTML 内容
当变量内容确定可信（如后台富文本编辑器存入、且已做过 XSS 过滤），需跳过自动转义。ThinkPHP 提供三种方式，优先级从高到低：
- 使用
{|raw}修饰符：{$content|raw}—— 最常用，明确语义，不依赖配置 - 用
{:}直接输出：{:$content}—— 绕过模板引擎转义逻辑，但失去变量检测和空值处理 - 关闭全局自动转义（不推荐）：在
config/template.php中设'default_filter' => ''，会导致所有{$x}不再转义，极大增加 XSS 风险
注意：|raw 不等于“不过滤”，它只是跳过 htmlspecialchars，不代表内容本身安全。务必确保 $content 来源可控，或已在业务层用 htmlspecialchars_decode + 白名单 HTML 过滤（如 HTMLPurifier）处理过。
htmlspecialchars 参数差异与 ThinkPHP 的隐含限制
ThinkPHP 固定传入三个参数：ENT_QUOTES、'UTF-8'，不支持动态指定。这意味着：
- 单引号和双引号都会被转义（
ENT_QUOTES），无法只转双引号 - 编码强制 UTF-8，若页面声明为
GBK且变量含中文，可能显示乱码（实际极少发生，因现代项目基本统一 UTF-8） - 不启用
ENT_SUBSTITUTE，遇到非法 UTF-8 字节序列会返回空字符串，而非替换为
若真需自定义参数（例如兼容旧数据），不要改框架源码，而是改用函数调用：{:htmlspecialchars($str, ENT_NOQUOTES, 'GBK', false)}，此时完全绕过模板引擎的默认逻辑。
调试时如何快速定位是否被转义了
最直接的方法：查看编译后的 PHP 模板文件。打开 runtime/view/xxx.php，搜索你的变量名，看是否包裹了 htmlspecialchars。如果看到类似 echo htmlspecialchars($title, ENT_QUOTES, 'UTF-8');，说明被转义了；如果是 echo $title;，那就是用了 |raw 或 {:}。
另一个信号是浏览器开发者工具中看到源码里出现 <、" 等实体，但页面显示为字面量符号（如显示 “
|raw，先确认这个变量是不是本该是纯文本——比如错误提示信息含 符号，就应该被转义，否则可能被注入。
<p>真正容易被忽略的是：数据库读出的数据如果经过了多次 <code>htmlspecialchars（比如入库前转义过一次，输出时又转一次），就会出现双重编码。这种情况要追溯数据写入链路，而不是在模板层补救。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
