ThinkPHP模板XSS漏洞本质是用户输入未经转义直接输出到HTML上下文导致恶意脚本执行，修复核心是建立“输出即转义”习惯并按上下文精准选择htmlspecialchars、json_encode、urlencode等处理方式，同时禁用{php}标签、设置全局default_filter、结合HTMLPurifier与CSP实现纵深防御。
ThinkPHP模板XSS漏洞本质是用户输入未经转义直接输出到HTML上下文中，导致恶意脚本在浏览器执行。修复核心不是堵某个函数，而是建立“输出即转义”习惯，结合上下文选择合适处理方式。
识别高危输出点
重点检查模板中所有{$var}、{:function($var)}、{php}echo $var;{/php}等直接输出位置，尤其是来自input()、cookie()、session()、数据库读取或URL参数的变量。例如：{$name}若$name来自input('name')且未过滤，就构成反射型XSS。
按上下文做精准转义
不能只用htmlspecialchars()一招打天下：
- 输出到HTML文本内容（如
{$content}
{|htmlspecialchars=ENT_QUOTES, 'UTF-8'}或模板引擎默认的{$content|html} - 输出到HTML属性值（如
）：必须加引号，并用htmlspecialchars($val, ENT_QUOTES)，避免被闭合后注入事件 - 输出到JavaScript字符串（如
var msg = "{$msg}";）：不能用htmlspecialchars，应改用json_encode($msg, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG)并确保整个JS块用<script></script>标签包裹 - 输出到CSS或URL中：分别使用
css_escape()或urlencode()，禁止拼接进href="javascript:..."或onerror=等执行上下文
禁用危险模板语法与配置
关闭模板引擎的危险能力：
- 在
config/template.php中设置'tpl_deny_func_list' => ['phpinfo', 'system', 'exec', 'shell_exec']，禁止模板内调用敏感函数 - 禁用
{php}...{/php}和{literal}...{/literal}标签（除非绝对必要），避免绕过转义逻辑 - 将
'default_filter' => 'htmlspecialchars'设为全局默认，但注意它不覆盖JS/CSS等特殊上下文，仍需手动处理
从源头控制输入与增强防御纵深
输出转义是最后一道防线，还需前置加固：
- 对用户提交的富文本（如编辑器内容）使用
HTMLPurifier等白名单库过滤，而非简单strip_tags - 启用CSP策略，如
Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline'（上线前移除unsafe-inline） - 开发阶段开启
app_debug => true便于发现未转义点，但生产环境必须关闭，防止错误页泄露敏感信息
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
