<p>ThinkPHP注释{}在编译阶段被剔除，不参与输出与逻辑；Smarty注释{ }由其编译器识别，支持嵌套；二者均不执行代码，无SSTI风险，但动态加载用户输入模板仍危险。</p>
ThinkPHP 模板注释和 Smarty 注释语法表面相似，但底层机制、作用范围和实际效果差异明显。关键不在“能不能写注释”，而在于注释是否被解析、是否影响输出、是否参与编译流程。
注释写法与生效逻辑不同
ThinkPHP 默认使用 {} 包裹注释，例如：{<!-- 这是 ThinkPHP 模板注释 -->}。它本质是模板引擎的“忽略指令”，在模板编译阶段就被直接剔除，不会出现在最终生成的 PHP 缓存文件中，也不参与任何逻辑判断。
Smarty 的注释语法是 {* *}，例如：{* 这是 Smarty 注释 *}。它同样不输出，但属于 Smarty 编译器识别的原生语法，在模板解析时被跳过，且支持嵌套（如 {* 外层 {* 内层 *} 外层 *}）。
两者都不支持 HTML 注释 <!-- --> 在模板变量区域起注释作用——HTML 注释会原样输出到页面源码，无法隐藏模板逻辑。
立即学习“PHP免费学习笔记（深入）”；
左右定界符可自定义，但默认值不同
ThinkPHP 允许通过配置修改模板定界符，比如：
-
'TMPL_L_DELIM' => '<{', 'TMPL_R_DELIM' => '}>'→ 注释变成<{-- 这是注释 --}> - 改完后所有标签（包括注释）都需按新符号书写，否则报错或不解析
Smarty 也支持自定义定界符，常用方式是：
$smarty->left_delimiter = '{#'; $smarty->right_delimiter = '#}';- 此时注释需写成
{#* 这是注释 *#}，普通变量则为{#name#}
注意：ThinkPHP 修改定界符影响整个模板引擎；Smarty 修改后仅对当前实例生效，不影响其他 Smarty 实例。
注释是否参与安全校验？答案是否定的
无论 ThinkPHP 还是 Smarty，标准注释本身不执行代码、不解析变量、不触发函数调用，因此不会引入 SSTI（服务端模板注入）风险。但需警惕一种常见误用：
- 把用户输入拼接到模板字符串中再渲染（如
$this->fetch('string:'.$user_input)或$smarty->display("string:".$user_input)） - 此时即使用户输入的是
{*恶意内容*}，只要它被当作原始模板内容加载，就可能绕过常规注释逻辑，尤其在低版本或非标准配置下
真正危险的不是注释语法，而是动态模板加载 + 不过滤输入的组合。
实际开发中的建议
- 团队协作项目中，统一注释风格比纠结语法更重要；ThinkPHP 推荐用
{<!-- -->}，Smarty 固定用{* *} - 调试阶段可临时用注释包裹某段模板代码快速屏蔽，但上线前建议删除无用注释，减小模板体积
- 不要依赖注释来“隐藏”敏感逻辑或临时开关——该用配置项的用配置项，该用条件判断的写 if 标签
- 若项目已集成 Smarty 到 ThinkPHP（如旧版 TP3），注释语法以 Smarty 实例为准，不受 TP 配置影响
