thinkphp 5.1+ 中 stripslashes 不起作用，是因为 input()、$request->param() 等方法默认已执行 stripslashes；手动重复调用会导致误处理，应优先使用 /s 后缀或 null 过滤参数获取原始值。
ThinkPHP 5.1+ 中 stripslashes 不起作用？先看数据来源
直接调用 stripslashes 处理字符串却仍有反斜杠残留，大概率是因为 ThinkPHP 已在输入层自动做了转义剥离——尤其是通过 input()、$request->param() 或模型赋值拿到的数据，默认已执行过 stripslashes（TP5.1+ 默认开启 default_filter，含 htmlspecialchars 和 stripslashes）。盲目再套一层会出错，比如把原本合法的
变成 n。
实操建议：
- 优先用
input('param_name/s')或$request->param('param_name', '', 'htmlspecialchars')——/s后缀表示跳过全局过滤，仅做字符串类型转换，不触发额外 stripslashes - 若确认数据来自
$_POST原始数组（如$_POST['content']），且 PHP 配置了magic_quotes_gpc=On（极少见，PHP 5.4+ 已移除），才需手动stripslashes - 检查是否误对 JSON 字符串重复处理：例如前端传了
{"title":"a"b"}，后端用json_decode前先stripslashes，会导致 JSON 解析失败
TP6 的 think acadeRequest::param() 如何安全取原始字符串
TP6 默认关闭了 magic quotes，但部分老项目或特殊部署仍可能遇到双转义。关键不是“去掉转义”，而是“按需还原”。
实操建议：
- 用
Request::param('content', '', null)——第三个参数传null表示禁用所有过滤，返回原始值 - 若需保留 XSS 过滤但去除多余反斜杠，改用
Request::param('content', '', 'htmlspecialchars_decode')，它只解码 HTML 实体，不碰反斜杠 - 避免写
stripslashes(Request::param('content'))：万一某天全局 filter 关闭，这行代码就变成无意义甚至破坏性操作
数据库读出的字符串含 \ 怎么办？别动 stripslashes
常见现象：MySQL 字段存了 a，查出来变成 a，以为是转义问题，其实只是 PHP 字符串显示的转义表示（实际存储和传输都是单反斜杠）。
实操建议：
- 用
var_dump($str)看真实内容，而非echo——echo会把\渲染成单个，容易误判 - 如果确定是 PDO/MySQLi 自动转义导致（如开启
PDO::ATTR_EMULATE_PREPARES = true且 SQL 拼接不当），应改用预处理语句，而非事后stripslashes - 模板中输出时用
{$data.content|raw}（TP5）或{{ $data['content'] }}（TP6 Blade）即可正常显示，无需提前处理
自定义函数封装要注意的兼容点
真有批量清理需求（比如导入旧系统数据），封装函数必须区分场景，不能一刀切。
实操建议：
- 不要命名成
clearEscape()这种模糊名称，改用unescapeForLegacyInput()，明确指向历史遗留输入 - 内部逻辑加判断：
if (function_exists('get_magic_quotes_gpc') && get_magic_quotes_gpc()) { ... }，PHP 8+ 直接跳过 - 对 JSON 字段单独处理：
if (is_string($val) && is_json($val)) { return json_encode(json_decode($val, true), JSON_UNESCAPED_UNICODE); }，避免stripslashes破坏 JSON 结构
最麻烦的情况其实是前端传参本身带双反斜杠（比如用户粘贴了代码片段），这时候后端该保留原样就保留，不该“智能”删减——所谓“去转义”，本质是还原意图，而不是消灭反斜杠。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
