ThinkPHP 5.1+ 不自动过滤 XSS，需开发者按上下文手动转义：模板中用 |htmlspecialchars=ENT_QUOTES,UTF-8 最可靠；入库不转义；富文本用 HTMLPurifier；禁用全局 view_filter。
ThinkPHP 5.1+ 中如何安全过滤 XSS 字符
默认情况下，ThinkPHP 并不会自动对输出内容做 HTML 实体转义或 XSS 过滤——它把责任交给了开发者。直接 echo $content 或模板中使用 {$content}（未加 |htmlspecialchars）极易触发 XSS。真正起作用的是手动转义，不是“内置过滤器”。
模板层用 |htmlentities 或 |htmlspecialchars 最可靠
这是最轻量、最可控的方式，只在需要展示 HTML 内容的地方做转义，不影响数据库存储和业务逻辑。
- 模板中写
{$data.content|htmlspecialchars=ENT_QUOTES,UTF-8}，比单纯|htmlentities更精准（保留单双引号语义） - 若内容本就应渲染为 HTML（如富文本），则不能全局转义，需改用白名单过滤库（见下一条）
- 注意：ThinkPHP 模板的
|default、|date等修饰符是链式调用，|htmlspecialchars必须放在最后，否则可能被后续处理破坏
入库前用 htmlspecialchars() 存原始 HTML？别这么干
把用户输入提前用 htmlspecialchars() 存进数据库，等于双重编码——读出来再 htmlspecialchars() 就变成乱码，不转义又不安全。这不是过滤，是自埋雷。
- 正确做法：入库前不做 HTML 转义，保持原始字符（如
<script></script>就存成<script>是错的） - 仅在输出到 HTML 上下文时转义；输出到 JSON、API、JS 变量等场景要用对应方式（如
json_encode()、addslashes()） - 如果必须支持富文本，用
HTMLPurifier或Overtrue/Purifier（Laravel/TP 都可集成），配置白名单标签和属性，而不是简单 replace 或 strip_tags
全局输出过滤？ThinkPHP 的 view_filter 不推荐启用
TP5 提供过 'view_filter' => ['think\template\filter\Htmlspecialchars'] 配置，但它会无差别处理所有模板变量，包括 JS 变量、URL 参数、JSON 字符串，极易导致 " 变成 "，破坏语法。
立即学习“PHP免费学习笔记（深入）”；
- 这个 filter 在 TP6 已被移除，官方不再维护
- 即使 TP5 启用，也无法区分「该转义」和「不该转义」的变量，比如
data-url="{$url}"里$url若被转义，链接就废了 - 真要统一控制，请在基类控制器的
assign()前后做选择性包装，或封装一个安全输出方法safe_html($str)，而非依赖全局钩子
最常被忽略的一点：XSS 防御不是“加个过滤函数”就完事，关键在上下文。同一段字符串，在 HTML body、HTML attribute、JS string、CSS content、URL query 中，需要的编码方式完全不同。ThinkPHP 不替你判断上下文，得自己盯住每个 echo 和模板占位符。
