ThinkPHP 6 中 input() 和 request()->param() 默认不保留原始请求体，审计需在控制器开头用 getRawContent() 或 server('QUERY_STRING') 获取未过滤数据；推荐通过中间件统一捕获并结构化记录可疑输入。
ThinkPHP 6 的 input() 和 request()->param() 默认不记录原始请求体
直接用 input() 或 request()->param() 拿到的是经过框架自动过滤（如 trim、htmlspecialchars 转义）或类型转换后的值，原始未处理参数根本没留下痕迹。审计时发现“用户提交了 <script></script>”，但日志里只看到空字符串或转义结果，没法回溯真实输入。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 必须在控制器方法最开头、任何
input()调用前，手动抓取原始数据：用$this->request->getRawContent()（POST/PUT/DELETE）或$this->request->get()/$this->request->post()（注意：这两个是已解析的，不是原始） - 对 JSON 请求，
getRawContent()返回的是 raw body，需自己json_decode($raw, true)；别依赖input('param_name')反推 - GET 参数相对简单，可用
$this->request->server('QUERY_STRING')获取完整查询串，再用parse_str()解析，保留原始键名和值（包括空格、+、%20 等编码差异）
如何在中间件里统一捕获并标记可疑参数
靠每个控制器手写日志容易漏，也违背单一职责。中间件是唯一能稳定拦截所有请求、且早于业务逻辑执行的位置。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 新建中间件
LogSuspiciousInputMiddleware，注册为全局 or group 中间件 - 在
handle()方法中，先调用$request->getRawContent()，若非空则尝试 JSON 解析；同时用$request->get()和$request->post()分别获取 GET/POST 数据（注意：它们已是 PHP 自动解析过的，但至少比input()更接近原始） - 可疑特征可定义为：
匹配 /]+>/i（HTML 标签）、/javascript:/i、/on\w+\s*=/i（内联事件）、/\$\{.*?\}/（EL 表达式）、长度超 5000 字符等 - 匹配到后，记录到日志（推荐用
think\facade\Log::record()），字段至少包含：ip、url、method、suspicious_keys、sample_value（截取前 100 字符）、timestamp
input() 的 filter 参数会掩盖真实输入，审计时务必绕过
很多人写 input('user_name', '', 'htmlspecialchars')，以为加了过滤就安全，却让日志里永远看不到原始 <script>alert(1)</script> —— 因为 htmlspecialchars 已把它变成 <script>alert(1)</script>，而审计关注的是“谁发了什么”，不是“框架转义成啥”。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 禁用所有业务代码里的
input()第三个参数（filter），改用显式过滤：先存原始值进日志，再用htmlspecialchars()或strip_tags()处理显示 - 如果必须用 filter（如兼容老逻辑），至少在中间件里确保原始数据已落盘，别指望
input()能还原 - 特别注意
input('data/a.0.b')这类点语法路径访问——它底层会递归过滤，原始嵌套结构更难追溯，优先用中间件拿到整块 raw body 再解析
日志格式要支持快速筛选，别只写 print_r()
随便 Log::info(print_r($data, true)) 导致日志臃肿、无法 grep，查一个 XSS 提交得翻半天。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 用结构化字段：例如
Log::record(['type' => 'suspicious_input', 'ip' => $ip, 'keys' => ['nick', 'bio'], 'sample' => '<img src=x onerror=alert(1)>', 'url' => $request->url(true)], 'audit') - 把日志通道单独配成
audit，避免和 debug 日志混在一起；在config/log.php中为audit设置独立文件和最大大小 - 敏感值脱敏：记录
user_phone时只记138****1234，但保留原始长度和格式特征（比如是否含 +86、括号、空格），这对识别自动化扫描器很重要
真正难的不是抓数据，是区分哪些是真实攻击、哪些是前端 bug 或测试误触。日志里混着 100 条带 的输入，其中 99 条来自富文本编辑器的正常 HTML，剩下 1 条才是漏洞利用——筛选规则和上下文还原，比采集本身花时间得多。
