伪静态中含特殊字符的URL易404，因服务器不自动解码；Apache需QSA+PT，Nginx须用$request_uri或$uri+$query_string；子目录部署要配RewriteBase、location前缀及app.base_url；多语言参数需透传，输出时手动转义防XSS。
伪静态规则里带特殊字符的 URL 怎么不 404
Apache 或 Nginx 的重写规则本身不解析 URL 编码，但会原样转发未解码的字符串。如果用户访问 /user/张三 或 /search?q=hello+world&tag=php%2Fweb，而你的伪静态规则没预留编码容错，PATH_INFO 或 QUERY_STRING 可能被截断或解析失败，直接 404。
关键不是“要不要转义”，而是服务器和框架对编码字符的传递是否一致：
- Apache 下确保
RewriteRule ^(.*)$ index.php/$1 [QSA,PT,L]中的$1能完整捕获含%、/、+的路径段；若路径含斜杠（如/tag/php/web），需确认pathinfo_depr配置与规则中分隔符一致（默认/） - Nginx 的
try_files $uri $uri/ /index.php?$query_string;会自动保留原始编码，但若用rewrite拆解路径，必须用$request_uri而非$uri，否则空格、中文等会被提前解码或丢弃 - ThinkPHP 默认从
$_SERVER['PATH_INFO']或$_SERVER['REQUEST_URI']提取路由，这两者在 LiteSpeed（如 SiteGround）下常被破坏，导致含中文的路径直接 fallback 到首页或报错
lang=zh-cn 这类参数为什么一加斜杠就失效
?lang=zh-cn 是合法查询参数，但一旦伪静态规则把整个 URL 当作路径处理（比如 RewriteRule ^(.*)$ index.php [L]），QUERY_STRING 就被丢弃——lang 参数彻底消失，Lang::getLangSet() 只能 fallback 到 en-us。
真正要命的是混合场景：比如你用路由变量 lang/:lang，又同时带查询参数 ?from=wechat，这时必须靠 QSA（Apache）或 $query_string（Nginx）透传，否则 from 丢了，:lang 也取不到。
立即学习“PHP免费学习笔记（深入）”；
- Apache 正确写法：
RewriteRule ^(.*)$ index.php/$1 [QSA,PT,L]——QSA是刚需，PT确保PATH_INFO可被 PHP 读取 - Nginx 必须写成
try_files $uri $uri/ /index.php?$query_string;，漏掉$query_string或写成$args（旧版兼容写法）都可能让lang参数丢失 - LiteSpeed（如 SiteGround）不支持
PT，QSA也常失效，唯一稳的方式是改用?s=模式，并在配置里显式提取$_SERVER['QUERY_STRING']手动塞进PATH_INFO
_() 函数返回的中文翻译怎么避免 XSS
_() 和 lang() 返回纯字符串，不做任何 HTML 转义。如果你直接 echo _('error.name_required');，而语言包里存的是 'name_required' => '用户名 <script>alert(1)</script>'，那就等于裸输出脚本。
这不是框架 bug，是设计选择：同一段翻译可能用于 JS 字符串、JSON 响应、CLI 输出，自动转义会破坏非 HTML 场景。
- HTML 上下文中必须手动包裹：
htmlspecialchars(_('error.name_required'), ENT_QUOTES, 'UTF-8')—— 缺少ENT_QUOTES或UTF-8参数，在 PHP 8+ 会警告，且单引号不转义，XSS 仍可触发 - 别用
htmlentities()替代，它会把中文转成你好，可读性崩坏，安全收益为零 - JS 中嵌入语言变量时，不能写
var msg = "<?php echo _('error'); ?>";，得用json_encode(_('error'), JSON_UNESCAPED_UNICODE)或先htmlspecialchars()再addcslashes($str, " "\")
子目录部署时伪静态 + 多语言 + 特殊字符全崩了怎么办
子目录（如 https://example.com/myapp/）是三重叠加故障高发区：路径前缀错位 → PATH_INFO 截断 → lang 参数丢失 → 中文路由 404。
根本矛盾在于：服务器认为请求路径是 /myapp/user/张三，但 ThinkPHP 默认从 $_SERVER['REQUEST_URI'] 里取全路径，再用 trim($uri, '/') 去前缀——如果没配 app.host 或 app.base_url，框架根本不知道自己跑在子目录里。
- Apache 下必须加
RewriteBase /myapp/，且RewriteRule目标写成/myapp/index.php/$1，否则重写后路径错乱 - Nginx 子目录部署必须用带前缀的
location /myapp/ { ... }块，并在rewrite中显式保留前缀：rewrite ^/myapp/(.*)$ /myapp/index.php?s=$1 last; - 框架层同步设置：
'app_host' => 'https://example.com', 'app_base_url' => '/myapp/'，否则url()生成的链接缺前缀，Lang::get()也因上下文路径错乱而 fallback
最易忽略的点：多语言切换链接（如 /myapp/zh-cn/index）本质是路由变量，不是真实路径，伪静态规则必须允许该路径段被完整传递到 PATH_INFO，而不是被当作静态文件拦截。
