最稳方式是在框架入口或index.php开头对$_GET、$_POST等超全局变量做递归清洗，用filter_input_array()批量过滤并封装为$request对象，避免手动重复调用filter_var()或htmlspecialchars()。
PHP 中 $_GET 和 $_POST 怎么统一过滤？
不能靠写一遍又一遍的 filter_var() 或 htmlspecialchars()，尤其当多个接口共用同一组参数时。最稳的方式是请求进入后立刻做「入口级清洗」，而不是等进到控制器才想起来处理。
推荐在框架入口（如 Laravel 的中间件、ThinkPHP 的全局过滤钩子）或纯 PHP 的 index.php 开头集中处理：
- 对
$_GET、$_POST、$_REQUEST逐层递归过滤，避免嵌套数组漏掉 - 用
filter_input_array()替代手动遍历 —— 它原生支持批量规则，且自动跳过未定义键，不报错 - 别直接修改超全局变量（如
$_GET = [...]），PHP 8.1+ 会警告；改用封装后的$request对象承接清洗结果
示例：用 filter_input_array() 做基础脱敏
$rules = [
'id' => ['filter' => FILTER_VALIDATE_INT, 'options' => ['default' => 0]],
'name' => ['filter' => FILTER_SANITIZE_FULL_SPECIAL_CHARS],
'email' => ['filter' => FILTER_VALIDATE_EMAIL]
];
$clean = filter_input_array(INPUT_GET, $rules);
// $clean['id'] 是 int，$clean['name'] 已转义，$clean['email'] 无效时为 false
Go 的 net/http 怎么拦截所有 query 和 form 参数？
Go 没有默认的全局过滤机制，r.FormValue("x") 或 r.URL.Query().Get("x") 返回的都是原始字符串，必须显式清洗。靠每个 handler 里重复调用 html.EscapeString() 或正则校验，极易遗漏。
正确做法是写一个包装 http.Handler 的中间件，在 ParseForm() 和 ParseMultipartForm() 之后统一扫一遍参数：
- 先调用
r.ParseForm()，再遍历r.Form（含 query + body），对每个值执行白名单过滤（如只留字母数字下划线）或类型转换 - 不要信任
r.URL.RawQuery—— 它没解码，直接正则匹配可能绕过 - 注意 multipart 场景：文件上传字段（
enctype="multipart/form-data"）的文本字段也走r.Form，但二进制字段不参与过滤，无需处理
关键点：清洗后把结果存进自定义 context，后续 handler 只读这个干净版本，不碰原始 r.Form
Node.js Express 中 req.query 和 req.body 验证失败怎么返回一致错误？
很多人用不同库分别处理 query（如 express-validator 的 query()）和 body（body()），结果错误结构不统一：query 错误返回 { error: "xxx" }，body 错误返回 { details: [...] }，前端得写两套解析逻辑。
解决方法是强制收口到同一个验证层：
- 用
express-validator的checkSchema()定义统一 schema，同时覆盖query、body、params字段 - 在
validationResult(req)后，统一用res.status(400).json({ code: 400, message: "参数错误", errors: result.array() }) - 别在每个路由里写
if (!req.query.id) {...}—— 这类硬判断会绕过验证中间件，导致白名单规则失效
常见坑：req.query 默认是字符串，id=123 和 id=123abc 都能过 isInt()，得加 isInt({ min: 1, max: 9999999 }) 或配合 matches(/^\d+$/)
Python Flask 的 request.args 和 request.form 如何防 Unicode 超长绕过？
单纯用 str.strip() 或 len() < 100 挡不住 Unicode 组合字符（如零宽空格、代理对），攻击者可构造超长但视觉上“看不见”的参数，撑爆数据库字段或触发正则回溯。
必须结合编码层与语义层双重限制：
- 用
unicodedata.normalize("NFC", s)强制标准化 Unicode，再截断 —— 否则len("a\u0301")是 2，但显示为一个带重音的 a - 对数字类参数（如
page），别只用int(request.args.get("page", 1))，要加范围检查：max(1, min(999, int(...))) - 数据库字段长度限制 ≠ 应用层过滤依据：MySQL 的
VARCHAR(32)存的是字节数，而 UTF-8 下一个中文占 3 字节，按字符数截断更安全
最容易被忽略的是：request.args.to_dict(flat=False) 返回的是 list 值（如 ?tag=a&tag=b → {"tag": ["a","b"]}），直接 str() 转换会暴露内部结构，应始终用 getlist() 显式取值再逐个过滤
