Blade默认转义仅防HTML文本上下文XSS，对属性值、JS字符串、JSON、URL等场景无效；需按上下文选用e()、json_encode()、urlencode()等，并对富文本用HtmlSanitizer预过滤。
Blade默认转义为什么不能完全信任
Blade默认对 {{ $variable }} 做 HTML 转义，这是基础防护，但只覆盖「输出到HTML文本内容」这一种场景。一旦你用 {!! $variable !!}、写入 <script> 标签内部、拼接到属性值（比如 href="{{ $url }}"）、或塞进 JSON 字符串里，转义就彻底失效。
常见错误现象：href="{{ url('/user/' . $id) }}" 看似安全，但如果 $id 是用户可控且含双引号或 >，会提前闭合标签，导致 XSS；又或者前端用 JSON.parse('{ "name": "{{ $name }}" }')，$name 里的 " 或 \ 不做额外处理就会破坏 JSON 结构。
- 所有动态拼接到 HTML 属性、JS 字符串、CSS 值、URL 参数中的变量，都不能依赖 Blade 默认转义
-
{!! $html !!}必须确保$html来自可信来源（如管理员后台富文本），且经过HtmlSanitizer类库过滤，而非简单strip_tags() - Blade 不处理模板中内联的 JS 变量注入——那是你自己的责任
Laravel内置的e()和htmlspecialchars()怎么选
e() 是 Laravel 提供的全局辅助函数，本质就是封装了 htmlspecialchars($value, ENT_QUOTES, 'UTF-8', false)，它比裸调 htmlspecialchars() 多一层安全：默认禁用 double_encode，避免重复编码导致显示异常。但两者都只解决 HTML 文本上下文，不适用于其他上下文。
使用场景差异明显：
- 输出纯文本内容（如
<p>{{ e($bio) }}</p>）→ 用e()或保持{{ $bio }}（效果一致） - 写入
<input value="...">→ 必须手动e()，因为 Blade 不会自动对属性值二次转义 - 拼接 JS 字符串 →
var name = "{{ e($name) }}";不够，需用json_encode($name, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG) - 生成 URL 查询参数 → 用
urlencode()或http_build_query()，不是e()
在JS中安全注入PHP变量的三种可靠方式
直接把 PHP 变量插进 <script> 标签是最容易翻车的地方。别信“我只用了 {{ $var }}，应该没问题”——只要没进 JSON 上下文，就大概率出事。
推荐做法（按优先级排序）：
- 用
json_encode()+htmlspecialchars()组合：var data = {!! json_encode($user, JSON_UNESCAPED_UNICODE | JSON_HEX_APOS | JSON_HEX_QUOT) !!};—— 注意必须用{!! !!}，且json_encode的 flag 要带上JSON_HEX_APOS和JSON_HEX_QUOT防止单/双引号逃逸 - 把数据挂到全局对象上，在独立 JS 文件里读：
<script>window.Laravel = @json($user);</script>
，然后其他 JS 通过window.Laravel访问（@json是 Blade 指令，自动加json_encode+ 安全 flag） - 完全避免服务端注入：用 API 接口异步获取数据，JS 自己 fetch，彻底解耦渲染与数据源
第三方富文本内容如何过滤再输出
用户提交的富文本（比如 TinyMCE、Quill 编辑器内容）绝不能直接 {!! $content !!}。Laravel 自带的 strip_tags() 或 html_entity_decode() 都不防 XSS，它们只是删标签或解码，不验证结构合法性。
真正可用的方案只有两个：
- 用
league/html-sanitizer（官方推荐）：配置白名单标签（p,strong,ul,li）和属性（仅允许class），过滤后再输出：$sanitizer = app('html-sanitizer'); clean($userHtml, 'basic'); // 'basic' 是预设配置名 - 用
domdocument+ 白名单规则手写过滤器（不推荐，易漏）——除非你明确知道每个标签的事件属性（onerror,onclick）和协议（javascript:,vbscript:）怎么剔除 - 永远不要信任前端传来的
<style>或<script>，哪怕它看起来“没执行”——浏览器解析行为复杂，绕过方式太多
最常被忽略的一点：富文本过滤必须在保存入库前完成，而不是每次渲染时才做。否则缓存、队列任务、API 输出都会复用未过滤内容。
