ThinkPHP中获取的当前路径需按用途安全处理：重定向时校验站内路径或白名单域名；模板输出时强制HTML转义；文件操作时过滤路径遍历并限定目录；日志记录时同样需转义防XSS。
ThinkPHP 获取当前路径（如 url()、request()->url() 或 request()->pathinfo()）后，不能直接用于拼接、重定向、写入日志或输出到前端页面——这些场景都可能触发 XSS、路径遍历、开放重定向等风险。安全过滤必须结合具体用途来处理，不是统一“删掉所有特殊字符”就万事大吉。
路径用于页面跳转或重定向时
若需将当前路径作为 Location 头或前端 JS 跳转目标（如登录后回跳），必须校验是否为站内相对路径或白名单域名下的绝对路径：
- 禁止直接使用用户可控路径做
header("Location: " . $url)，否则可构造javascript:alert(1)或外部链接 - 推荐用
Url::build()生成内部路由，避免拼接原始 pathinfo - 若必须保留原始路径，先提取 path 部分（去掉 query 和 fragment），再用
parse_url()判断 scheme 是否为空或为http/https，且 host 是否在可信域名列表中 - 简单兜底：只允许字母、数字、斜杠、点、下划线、连字符，其余一律剔除：
preg_replace('/[^a-zA-Z0-9/._-]/', '', $path)
路径用于模板输出或前端展示时
当前路径若要显示在 HTML 页面（如面包屑、地址栏模拟），必须防止 XSS：
- 不要直接
{$path}，ThinkPHP 模板默认不自动转义 - 统一用
{:htmlspecialchars($path, ENT_QUOTES, 'UTF-8')} - 若已配置
'default_filter' => ['htmlspecialchars']，确保该配置生效且未被后续逻辑绕过（如二次 decode 或字符串拼接） - 避免在 JS 中拼接：
var url = "=$path?>";→ 改用 JSON 编码：var url = =json_encode($path)?>;
路径用于文件操作或系统调用时
如根据路径读取模板、加载配置、写入缓存文件，需防范路径遍历（../）和非法文件名：
立即学习“PHP免费学习笔记（深入）”；
- 禁用
../、./、..\等组合，可用正则提前拦截：if (preg_match('/..([/\\]|$)|[[:cntrl:]]/', $path)) { throw new Exception('Invalid path'); } - 路径应限定在项目指定目录下，用
realpath()+str_starts_with()校验是否位于白名单根目录内 - 文件名部分建议只保留
[a-zA-Z0-9_-]+，其余字符全部替换为下划线或丢弃 - 绝对不要用
shell_exec('cat ' . $path)类方式，必须走 PHP 原生文件函数并严格限定作用域
路径用于日志记录或调试输出时
看似“不输出到前端”就安全，但日志若被 Web 可访问或带富文本渲染功能，仍可能成为 XSS 温床：
- 写入日志前统一过
htmlspecialchars($path, ENT_QUOTES, 'UTF-8')，尤其当路径含 query 参数时（如?id=<script>alert(1)</script>） - 避免把完整 URL 写进错误提示返回给用户，应脱敏处理（如隐藏 query 中的敏感参数）
- 日志系统若支持结构化字段（如 JSON 日志），将路径存为独立字段而非拼接字符串，降低解析风险
