ThinkPHP的validate()不自动审计，必须在验证失败时立即记录IP、URL、参数等完整上下文，否则无法追溯攻击行为；input()嵌套解析存在深度限制与安全盲区，需正则拦截非法键名；URL校验须叠加协议白名单防SSRF。
validate() 不等于自动审计，失败后不记录等于“没验”
ThinkPHP 的 validate() 方法只负责返回 false 或抛 ValidateException，框架默认不做任何日志、入库或告警。你看到“参数错误”响应，后台却查不到谁、什么时候、传了什么恶意数据。
- 常见错误：在控制器里写
if (!$this->validate($data, $rule)) { return $this->fail('参数错误'); }，然后就结束了 - 真实风险：攻击者反复发
id=1%27%20UNION%20SELECT%20password%20FROM%20users--，你完全无迹可查 - 正确做法：必须在
validate()失败后立刻记录完整上下文，字段至少包括ip、method、url、controller、action、param（用json_encode($this->request->param(), JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES)）、create_time - 别等进业务逻辑再取
param——$this->request->param()要在验证失败的那一刻立刻保存，否则可能被中间件或过滤器修改
点号和方括号是隐形入口，input() 解析深度有限但攻击面很宽
ThinkPHP 的 input() 支持 a.b 和 a[b] 语法，但底层解析只到两级。超过会静默失败或产生不可预测行为，而攻击者正利用这点构造非法嵌套路径绕过校验。
- 典型非法键名：
user[info][token]、filter.1.2.3、payload[] - 正则判断比
is_array()可靠：用preg_match('/[\[\]\.]/', $key)拦住所有含[、]、.的键名 - 深度限制建议设为 2 层（如
a.b允许，a.b.c拒绝），因为input('a.b.c')在 TP6 中本就不支持，强行使用会导致空值或类型错乱 - 不要只检查值是否为数组——
$_POST['user[info]']经 PHP 自动解析后，$request->post()里键名已是user，原始结构已丢失
filter_var(FILTER_VALIDATE_URL) 只验格式，不防业务滥用
用 filter_var($url, FILTER_VALIDATE_URL) 能确认字符串是不是合法 URL，但它对 javascript:alert(1)、data:text/html,<script>...</script> 或内网地址如 http://127.0.0.1:8080/admin 完全不设防。
- 必须叠加白名单协议：只允许
http、https，禁用javascript、data、vbscript - 若业务需跳转外链，应校验
parse_url($url)['host']是否在可信域名列表中 - 前端传来的
redirect_url参数，不能直接塞进header('Location: ' . $url)，必须先过白名单 + 协议过滤 - TP 的
input('get.redirect_url', '', 'htmlspecialchars')只防 XSS，不防 SSRF 或跳转劫持
