ThinkPHP事件机制不自动清洗数据，需在before_write等事件回调中手动调用htmlspecialchars等函数处理$data数组字段；验证器filter仅在实例化check时生效，静态调用无效；中间件可全局清洗但粒度粗、难区分字段；Db类操作完全绕过清洗，须手动过滤。
ThinkPHP 的事件机制本身不负责数据清洗，它只是触发时机；真正做清洗的，是你在事件回调里写的逻辑——而且必须手动调用过滤函数，不能指望事件自动“消毒”。
before_write 事件里怎么写清洗逻辑才生效
模型的 before_write 是唯一能稳定介入写入前处理的钩子，但它不自动执行 $filter，也不自动调用验证器里的 filter 规则。
- 必须显式处理字段：比如
$data['content'] = htmlspecialchars($data['content'] ?? ''); - 别直接改
$this->content—— 事件参数是传引用的数组，改$data才影响最终入库值 - 嵌套字段（如
user.profile.bio）要自己递归或用array_walk_recursive()，before_write不自动展开 - 如果用了软删除（
delete_time），注意别把null或0错误转成字符串，导致判断失效
validate() 验证器里的 filter 为什么没起作用
验证器中定义的 'filter' => 'htmlspecialchars' 只在两种情况下生效：一是用 (new MyValidate())->check($data) 实例调用；二是用 validate()->rule(MyValidate::class)->check($data)（TP6.1+）。
- 静态调用
$this->validate($data, MyValidate::class)完全跳过 filter 流程 - filter 只修改验证器内部副本，原
$data不变，你得用$validated = (new MyValidate())->check($data) ? $data : [];再传给 save - TP6.0.9 之前不支持闭包 filter，写
function ($v) { return trim($v); }会报错，只能用函数名字符串
用中间件统一清洗 request 参数靠谱吗
靠谱，但只适合全局、轻量、非业务强耦合的清洗，比如统一 trim 和基础 htmlspecialchars。它比事件更早，也更“粗粒度”。
立即学习“PHP免费学习笔记（深入）”；
- 中间件拿到的是原始
Request对象，可对$request->param()批量处理：array_map(fn($v) => is_string($v) ? htmlspecialchars(trim($v)) : $v, $request->param()) - 无法区分“这个字段该不该转义”——比如 ID 字段被
htmlspecialchars后变成字符串，可能破坏后续 intval 判断 - 中间件不处理 JSON 请求体里的深层嵌套字段，除非你手动
json_decode($request->getContent(), true)再遍历 - 性能上，高频接口建议只清洗展示层字段，中间件里无差别全扫会拖慢响应
Db::insert() / Db::update() 绕过模型时怎么清洗
完全绕过模型和事件，Db 类不做任何清洗，所有数据原样进 SQL——这也是为什么清理任务推荐用 Db::delete()，但写入场景必须自己兜底。
- 手动过滤再拼数组：
Db::insert(['title' => htmlspecialchars($raw['title']), 'status' => (int)$raw['status']]); - 别信
input('post.title', '', 'htmlspecialchars')—— 它只对当前字段有效，漏一个字段就少防一层 - 批量插入时，用
array_map()统一处理每条记录：array_map(fn($item) => ['name' => trim($item['name'])], $list) - 如果字段含 HTML 富文本，别用
htmlspecialchars，改用strip_tags($html, '<p><br><strong>')
白名单放行
最易忽略的一点：清洗不是越狠越好。过度转义（比如对数字字段调用 htmlspecialchars）、错误时机（在验证前就 trim 导致空字符串通过非空校验）、或漏掉 JSON 字段解析后的二次清洗，都会让清洗变成新 bug 的温床。
