ThinkPHP缓存键若直接拼接用户输入易致缓存投毒；须对input等参数做md5哈希或白名单过滤，tag名禁止动态拼接，File驱动需防路径穿越，Redis需防解析歧义。
ThinkPHP 默认的缓存键生成逻辑若直接拼接用户可控输入（如 $_GET、$_POST 或路由参数），极易引发缓存投毒——攻击者可构造恶意键名污染缓存，导致其他用户读取错误或敏感数据。
缓存键是否包含用户输入？关键看 Cache::tag() 和 Cache::get() 的键构造方式
ThinkPHP 本身不自动对缓存键做过滤或转义，它完全信任开发者传入的字符串。常见高危写法：
Cache::get('user_' . input('id'));
当 input('id') 是 123 时，键为 user_123；但若攻击者请求 ?id=123%00_tag:admin（取决于底层驱动），某些驱动可能误解析为 tag 或触发分隔歧义。
- Redis 驱动下，若用
setex直接写入且键含冒号、空格、控制字符，虽 Redis 不报错，但后续keys或扫描逻辑可能出错 - File 驱动中，键若含
/、..、NUL 字符，可能造成路径穿越或文件覆盖 - Tag 功能（
Cache::tag('xxx')->set()）依赖键名结构，若 tag 名来自用户输入且未校验，会污染整个 tag 组
必须对缓存键做白名单过滤或哈希归一化
不要试图“黑名单过滤”，而应强制将原始输入映射为安全、固定长度、无歧义的键。推荐两种做法：
立即学习“PHP免费学习笔记（深入）”；
- 用
md5()或sha1()哈希原始输入：Cache::get('user_' . md5(input('id')))—— 简单有效，适合多数场景 - 白名单正则清洗（仅保留字母数字下划线）：
preg_replace('/[^a-zA-Z0-9_]/', '', input('id'))，再拼接，适用于需可读键名的调试场景 - 若使用 tag，tag 名必须是硬编码或从预定义数组中选取，禁止动态拼接：
Cache::tag(['user', 'profile'])->set(...)，而非Cache::tag(input('tag'))->set(...)
注意驱动差异：File 驱动比 Redis 更容易因键名出问题
File 缓存驱动把键名直接作为文件路径的一部分，所以 input('id') 若为 ../../etc/passwd，可能生成非法路径（即使 ThinkPHP 内部做了基础处理，也不能完全信任）。Redis 虽不校验 key 格式，但某些运维脚本或监控工具在解析 key 时依赖约定格式，乱码键会导致统计失败或误删。
- 检查当前配置：
cache.type是file还是redis，不同驱动对键的容忍度不同 - 生产环境务必禁用
cache.default_return等兜底行为，避免缓存未命中时返回默认值掩盖投毒迹象 - 开启缓存日志（
cache.record = true）并定期审计高频/异常键名，能早发现可疑模式
真正危险的不是缓存本身，而是把未经净化的请求上下文直接塞进缓存键——这个动作在 ThinkPHP 里没有任何警告或拦截，全靠开发者自觉。哪怕只有一处 Cache::get('data_' . $request->param('key')) 没加哈希，就可能成为突破口。
