ThinkPHP字符串转义失效源于转义位置、时机或方式错误：模板{$var}默认转义导致HTML被二次编码，input()需显式传过滤函数，富文本入库前禁用htmlspecialchars，控制器与模板层转义不可叠加。
ThinkPHP 字符串转义失效，不是“开关没开”，而是你正在用的转义位置、时机或方式根本不对——模板里写 {$var} 看似转义了，其实可能被二次编码；控制器里调 htmlspecialchars() 存进数据库，读出来却是 <p> 文本；甚至 input('name') 不加过滤参数，压根就不转义。
模板中 {$var} 显示 HTML 标签而非渲染效果
这是最常见误判：你以为框架“自动转义”生效了，结果发现存的是 <p>Hello</p>，页面上真就显示那串字符。问题不在数据库，而在模板输出层默认做了 htmlspecialchars()，把本该渲染的 HTML 又转了一次。
- 确认是否用了
{$data.content}（带花括号无冒号）——这是默认开启转义的写法 - 改用
{:$data.content}（冒号开头），跳过所有自动过滤，直接原样输出 - 如果内容已被错误转义过（比如入库前手动
htmlspecialchars()），模板中得补救：{:htmlspecialchars_decode($data.content)} - ThinkPHP 8.0+ 已移除
default_filter全局配置，检查config/template.php中default_filter是否为空数组，避免残留配置干扰
input() 获取参数后未显式过滤导致 XSS 漏洞
input('title') 本身不转义、不验证、不强制类型转换——它只是个取值代理。所谓“失效”，其实是你漏写了第三个过滤参数，或者误以为 /s 后缀能防 XSS。
-
input('title')→ 返回原始字符串，含<script></script>也照单全收 -
input('title', '', 'htmlspecialchars')→ 正确做法，第二个参数是默认值，第三个才是过滤函数 -
input('id/d')中的/d仅表示“期望数字”，不强制转整型；真正安全写法是input('id', 0, 'intval') - HTML 属性值场景（如
title="{$title}"）必须确保引号闭合，且内容已按属性上下文转义，htmlspecialchars($title, ENT_QUOTES)是底线
富文本内容被自动转义后无法还原
Ueditor、TinyMCE 提交的 <h2>标题</h2><p>正文</p>，入库前若被 htmlspecialchars() 处理，存进去就是 <h2></h2>，再怎么 htmlspecialchars_decode() 也救不回原始结构。
立即学习“PHP免费学习笔记（深入）”；
- 入库前绝对不要对富文本调
htmlspecialchars()—— 它本就是合法 HTML - 数据库字段必须为
TEXT或MEDIUMTEXT，VARCHAR(255)连一个<img src="">都存不下 - 模板中统一用
{:$content}输出，禁用任何自动转义 - 如需防 XSS，必须用
HTMLPurifier白名单净化，而不是靠htmlspecialchars()硬套
控制器里提前转义却和模板层叠加出错
有人在控制器写 $data['desc'] = htmlspecialchars($raw, ENT_QUOTES, 'UTF-8');，再传给模板用 {$data.desc}，结果 <p> 变成 <p></p>。这不是 bug，是两层转义叠加的必然结果。
- 要么在控制器处理好，模板用
{:$data.desc}（不转义） - 要么控制器不处理，模板用
{$data.desc|htmlspecialchars}（管道符只执行一次） - ThinkPHP 5.1+ 支持
{$data.desc|htmlspecialchars|nl2br}，但顺序不能反：先转义再换行，否则\n会被当成普通字符转义掉 - nl2br() 对已转义字符串无效——
<br>不会变成换行，它只处理原始\n字符
真正难的不是“怎么加转义”，而是判断该在哪一层、对哪种上下文、用哪个函数做哪一级处理。同一段数据，在 JS 内联变量里要 json_encode()，在 HTML 文本里要 htmlspecialchars()，在属性值里要额外闭合引号，在富文本里则一个字都不能转——混用就会失效，漏掉就会漏洞。
