htmlspecialchars()在ThinkPHP中常失效，因未显式传全参数（如'UTF-8'编码、ENT_QUOTES标志），模板{$content}默认不转义，控制器echo裸输出，富文本误用导致HTML被显示为源码，TP6已移除default_filter，须按需显式调用。
ThinkPHP 不自动转义输出，htmlspecialchars() 必须显式调用、参数必须写全，否则 XSS 依然可触发。
为什么 htmlspecialchars() 在 ThinkPHP 中经常失效
不是函数没用，而是调用姿势错了。ThinkPHP 模板里写 {$content} 默认不转义；控制器里直接 echo $input 更是裸奔。常见失效原因包括：
- 漏传第三个参数
'UTF-8'，导致多字节编码绕过（如 %C0%AE%C0%AE/ 路径遍历+XSS 组合） - 只用
ENT_COMPAT或不传标志，单引号未转义，攻击者可用onerror="alert(1)"触发 - 在模板中用
{$content|htmlspecialchars}，但该简写默认不带ENT_QUOTES，等价于htmlspecialchars($content, ENT_COMPAT) - 对富文本字段也套
htmlspecialchars()，结果<p>Hello</p>显示成源码，而非渲染后的段落
ThinkPHP 6 中正确调用 htmlspecialchars() 的位置和写法
TP6 已彻底移除 default_filter 配置，所有过滤必须显式、按需进行。关键点：
- 模板层优先：用
{:htmlspecialchars($content, ENT_QUOTES | ENT_HTML5, 'UTF-8')}，比{$content|htmlspecialchars}更可靠 - 控制器层慎用：不要在
assign()前统一转义，否则同一变量无法复用于 JS 变量或属性值 - API 输出 HTML 片段时（如后台返回编辑器预览 HTML），不能只靠
htmlspecialchars()，必须走HTMLPurifier白名单清洗 - 若用
input('name')获取参数，可加第三参数：input('name', '', 'htmlspecialchars')—— 但仅限纯文本展示场景，且不能替代输出点的最终校验
htmlspecialchars() 不适用的 3 种典型输出上下文
它只管 HTML 文本节点和属性值，其他场景强行套用反而引入漏洞：
立即学习“PHP免费学习笔记（深入）”；
-
内联 JavaScript 字符串：如
<script>var title = "<?php echo $title; ?>"</script>→ 必须用json_encode($title, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG | JSON_HEX_AMP) -
HTML 属性未引号包裹：如
<div data-id=<?php echo $id; ?>→ 即使$id已转义，缺引号仍可被空格截断后注入onclick=alert(1) -
富文本内容输出：如文章正文含
<img src="x" onerror="alert(1)">→htmlspecialchars()会把整个标签变成文字，破坏排版；应改用HTMLPurifier清洗并保留白名单标签
真正容易被忽略的，是那些“看起来不像输出点”的地方：meta 标签的 content 属性、CSS 的 background-image: url()、甚至 SVG 的 xlink:href。这些上下文各自有对应的编码/校验方式，不能全扔给 htmlspecialchars()。
