ThinkPHP项目需配置XSS过滤机制：一、启用全局default_filter为htmlspecialchars；二、集成HTMLPurifier处理富文本；三、模板层开启自动转义；四、中间件选择性过滤字段；五、配置HTTP安全响应头。
如果您在ThinkPHP项目中处理用户提交的数据，但未启用XSS过滤机制，则恶意脚本可能被直接渲染到页面中执行。以下是配置XSS过滤机制的具体方法：
一、启用全局默认过滤函数
该方法通过框架内置的默认过滤机制，在所有使用I()或input()获取请求数据的场景中自动调用指定过滤函数，适用于纯文本型输入且无需保留HTML格式的业务场景。
1、打开application/config.php配置文件。
2、在配置数组中添加或修改'default_filter' => 'htmlspecialchars'项。
立即学习“PHP免费学习笔记（深入）”；
3、确保请求数据统一通过input()或I()方法获取，例如：input('post.content')。
4、确认htmlspecialchars参数完整，推荐显式指定编码与引号处理：ENT_QUOTES, 'UTF-8'，防止编码绕过攻击。
二、集成HTMLPurifier实现富文本安全过滤
该方法专为支持富文本编辑器的场景设计，允许白名单范围内的HTML标签和CSS样式，同时剥离script、onerror、javascript:等危险内容，避免简单转义导致编辑器内容失效。
1、在项目根目录执行命令安装库：composer require ezyang/htmlpurifier。
2、在app/common.php中定义remove_xss()函数，包含HTMLPurifier初始化与白名单配置。
3、配置中设置'HTML.Allowed'仅包含安全标签如div,b,strong,i,em,a[href|title],ul,ol,li,br,p[style],span[style],img[width|height|alt|src]。
4、配置中设置'CSS.AllowedProperties'限定样式属性范围，禁用expression、behavior等高危CSS特性。
5、将配置文件中的'default_filter'值改为'remove_xss'。
三、在模板层启用输出自动转义
该方法作用于视图渲染阶段，对模板变量输出进行强制HTML实体编码，是防御反射型XSS的最后一道防线，不依赖控制器层的数据预处理。
1、确认ThinkPHP模板引擎的{$var}语法处于默认开启转义状态。
2、禁止在模板中无条件使用{$var|raw}或{$var|htmlspecialchars|raw}等关闭转义的组合。
3、如需输出已清洗的HTML内容，应改用{:htmlspecialchars_decode($safe_html)}并确保该变量来源已通过HTMLPurifier过滤。
4、检查模板配置项'template.default_filter'是否为'htmlspecialchars'，避免被覆盖为''或'html_entity_decode'。
四、通过中间件实施选择性字段过滤
该方法规避全量过滤带来的副作用，仅针对明确用于HTML渲染的请求字段（如title、desc、nickname）执行净化，避免污染$request原始数据，符合TP6只读快照设计原则。
1、创建中间件类，例如app/middleware/XssFilter.php。
2、在handle()方法中获取$request->param()，而非直接操作$_GET或$_POST。
3、定义需过滤的键名白名单数组：['title', 'desc', 'nickname', 'content']。
4、遍历白名单，对对应键值调用remove_xss()或htmlspecialchars()，并将结果存入新数组。
5、使用$request->withParam()合并清洗后数据，向下传递。
五、配置HTTP安全响应头增强防护
该方法不直接过滤数据，而是通过浏览器端策略限制脚本执行上下文与资源加载行为，辅助降低XSS成功后的危害面。
1、在全局中间件或基础控制器的initialize()方法中添加响应头。
2、写入X-XSS-Protection: 1; mode=block启用浏览器内置XSS过滤器并阻断渲染。
3、写入X-Content-Type-Options: nosniff防止MIME类型嗅探导致的误解析。
4、写入X-Frame-Options: DENY或SAMEORIGIN阻止页面被嵌入iframe进行点击劫持。
5、可选添加Content-Security-Policy头，严格限制script-src、style-src等指令，例如：script-src 'self'; object-src 'none'。
