ThinkPHP 6.0中validate仅校验不自动过滤，必须主动用filter_input或filter_var在数据进入模型前完成过滤与验证；推荐控制器入口调用filter_input一次性完成来源指定、类型验证、内容清理和默认值设定，再传入模型data()进行业务校验。
ThinkPHP 6.0 中，不能依赖 validate 自动过滤数据，它只校验、不清理。要真正保障表单安全，必须主动结合 PHP 原生 filter_input 或 filter_var 在数据进入模型前完成过滤与验证——这是最轻量、最可控、也最贴近 PHP 安全规范的做法。
直接从输入源过滤：用 filter_input 处理 $_POST/$_GET
推荐在控制器入口就调用 filter_input，一次性完成来源指定、类型验证、内容清理和默认值设定，避免后续误用原始超全局变量。
-
$name = filter_input(INPUT_POST, 'name', FILTER_SANITIZE_FULL_SPECIAL_CHARS);—— 清理 HTML 标签、转义引号，适合入库或展示 -
$age = filter_input(INPUT_POST, 'age', FILTER_VALIDATE_INT, ['options' => ['min_range' => 1, 'max_range' => 120]]);—— 同时验证整数且限定范围，失败返回false或null，应立即中止流程 - 若字段必填但允许空格，先
trim再验证：filter_input(INPUT_POST, 'title', FILTER_SANITIZE_STRING)（PHP 8.1+ 已弃用，改用FILTER_SANITIZE_FULL_SPECIAL_CHARS）后手动trim()
验证与过滤分离：先 filter_input 验证，再传给 TP6 模型
TP6 的 validate() 是业务逻辑层校验，不应承担底层数据净化职责。正确流程是：
- 用
filter_input获取并初步净化数据，剔除明显非法值（如非数字的 age、含 script 的 name） - 将过滤后的数据组装为数组，传入模型：
$user->data($cleanedData)->validate($rules)->save() - 注意：若启用
allowField，确保filter_input返回的字段名也在白名单中，否则被丢弃 - 不要在验证器里写
filter属性指望它修改原始数据——它只临时用于比对，保存时仍是未处理的原始值
防 XSS 和 SQL 注入：输出与存储必须分层处理
过滤不是“一劳永逸”，不同场景需不同处理：
立即学习“PHP免费学习笔记（深入）”；
-
存入数据库前：用
filter_input+PDO 预处理。即使数据已清理，也绝不可拼接 SQL；$stmt->execute([$name])才是底线 -
输出到 HTML 页面时：必须用
htmlspecialchars($name, ENT_QUOTES, 'UTF-8')，哪怕之前已用FILTER_SANITIZE_FULL_SPECIAL_CHARS—— 因为后者不保证 HTML 上下文安全 -
富文本等例外场景：禁用通用 filter，改用
HTMLPurifier等专业库白名单过滤，而非简单strip_tags
常见陷阱与规避方式
很多问题源于混淆了“验证通过”和“数据干净”：
- 现象：邮箱格式验证通过，但内容是
"admin@domain.com<script>alert(1)</script>"——FILTER_VALIDATE_EMAIL不清理，只判格式 - 现象：
" 123 "经FILTER_VALIDATE_INT返回123，但入库前没trim，导致 name 字段带空格存入 - 规避：对关键字段做链式处理，例如
$title = trim(filter_input(INPUT_POST, 'title', FILTER_SANITIZE_FULL_SPECIAL_CHARS) ?? '') - 规避：在模型
data()后显式调用filter()（如->filter(['title' => 'trim|htmlspecialchars'])），但仅限字段少、规则固定时使用
