ThinkPHP防XSS核心是控输出而非拦输入；default_filter不可全信，因其仅作用于框架输入函数、参数不全易被绕过、且不适用于JSON/JS/URL等上下文；必须显式调用htmlspecialchars()并传ENT_QUOTES | ENT_HTML5和'UTF-8'，富文本场景须用HTMLPurifier白名单净化。
ThinkPHP 防止 XSS 反射攻击，核心不是“拦输入”，而是“控输出”——所有用户数据在最终 echo 到 HTML 前，必须过 htmlspecialchars() 或等效上下文转义。
为什么 ThinkPHP 的 default_filter 配置不能全信
ThinkPHP 5.x/6.x 支持在 config.php 中配置 'default_filter' => 'htmlspecialchars'，看似一劳永逸。但实际有三个硬伤：
- 它只对通过
I()、input()等框架输入函数获取的变量生效，绕过这些函数（比如直接读$_GET、$_POST或从数据库查出后直接echo）就完全失效 - 它默认不传
ENT_QUOTES和'UTF-8'参数，老版本 PHP 下可能因编码误判被双字节绕过 - 它对 JSON 输出、JS 内联、URL 属性等非 HTML 文本上下文完全无效——比如
<script>var name = "<?php echo $name; ?>"</script>，加了default_filter也挡不住"闭合和 JS 执行
htmlspecialchars() 必须手动调用且参数写全
不要依赖框架自动过滤，每次 echo 用户数据前，显式调用并指定完整参数：
- HTML 正文或标签内文本：
echo htmlspecialchars($user_input, ENT_QUOTES | ENT_HTML5, 'UTF-8'); - HTML 属性值（如
title、data-id）：同样用上面这行，且确保属性值用双引号或单引号包裹（title="<?php echo ... ?>"），否则引号缺失会导致转义失效 - 别用
htmlentities()替代——它会把中文转成你，影响可读性和 SEO - ThinkPHP 模板里也一样：不要写
{$name}，改用{:htmlspecialchars($name, ENT_QUOTES | ENT_HTML5, 'UTF-8')}或自定义模板函数封装
JSON 输出到 <script></script> 标签时，htmlspecialchars() 是错的
常见错误写法：<script>var data = { "name": "<?php echo htmlspecialchars($name); ?>" };</script> —— 这根本防不住 XSS，因为 htmlspecialchars() 不处理 JS 字符串边界和 Unicode 分隔符（如 \u2028）。
立即学习“PHP免费学习笔记（深入）”；
- 正确做法是用原生
json_encode()：echo json_encode(['name' => $name], JSON_UNESCAPED_UNICODE | JSON_HEX_TAG | JSON_HEX_AMP); -
JSON_HEX_TAG防闭合，JSON_HEX_AMP防&引发的解析歧义 - 如果数据要塞进内联
<script></script>，额外加一层JSON_HEX_QUOT更稳妥 - 绝对不要自己拼 JSON 字符串，哪怕加了
htmlspecialchars()
富文本场景下，htmlspecialchars() 必须让位给 HTMLPurifier
当用户能发带 <a></a>、<img alt="ThinkPHP如何防止XSS反射攻击_ThinkPHP输出编码说明【说明】" > 的内容（如后台编辑器），htmlspecialchars() 会把所有标签干掉，体验崩坏；而 strip_tags() 或正则过滤极不可靠，onerror、javascript:、data:text/html 全都漏得干净。
- 用 Composer 安装：
composer require ezyang/htmlpurifier - 配置白名单，禁掉事件属性和危险协议：
$cfg->set('HTML.Allowed', 'p,b,i,u,a[href|title],img[src|alt|width|height]');，$cfg->set('URI.AllowedSchemes', ['http', 'https']); - 净化后的内容仍要过一遍
htmlspecialchars()——因为HTMLPurifier输出的是 HTML 字符串，若你把它当纯文本 echo（比如放在<pre class="brush:php;toolbar:false;"></pre>里展示源码），不转义照样触发 XSS
最容易被忽略的一点：XSS 防御成败，取决于最薄弱的那个 echo。一个没加转义的 echo $_GET['q']，就能让整套防护形同虚设。别假设“输入已经过滤过了”，浏览器执行的是你最后吐出去的那串 HTML。
