ThinkPHP的input()默认不自动过滤，仅在配置default_filter且无显式第三个参数时触发一次htmlspecialchars转义；该过滤仅作用于取值瞬间，不影响数据库写入或内部逻辑，富文本等需绕过默认过滤再用HtmlPurifier处理。
ThinkPHP 对特殊符号的处理不是“自动全量过滤”，而是分层、按需、可配置的转换与过滤机制。默认开启的 htmlspecialchars 转义只作用于 input() 获取的数据，且仅在输出到 HTML 模板时才真正生效；它不删除字符，也不影响数据库写入或内部逻辑处理——这点常被误认为“已经安全了”。
input() 默认过滤行为怎么触发和覆盖
ThinkPHP 6/8 的 input() 函数在无显式第三个参数时，会读取配置项 default_filter（默认值为 'htmlspecialchars'）并自动应用。但这个过滤仅发生在数据从 $_GET/$_POST 等超全局变量中取出的那一刻，且只执行一次。
- 如果配置里设为
'default_filter' => ['strip_tags', 'htmlspecialchars']，所有input('post.content')都会先去标签再转义，但注意：顺序不能颠倒，否则htmlspecialchars(strip_tags($str))是安全的，反过来就可能把已转义的<再套一层编码 - 若字段需保留部分 HTML（如富文本简介），必须绕过默认过滤：
input('post.content', '', null)或input('post.content', '', '')，否则后续用htmlpurifier处理前，<script>已变成<script></script>，白名单校验失效 -
input('get.id/d')这类带类型强制的调用，会跳过default_filter，因为类型转换（如转整型）优先级更高
模板中 {$var} 和 {:htmlspecialchars($var)} 的区别
ThinkPHP 模板引擎对变量输出默认启用 htmlspecialchars，即 {$name} 等价于 {:htmlspecialchars($name, ENT_QUOTES, 'UTF-8')}。但这只是视图层防护，不改变原始变量值。
- 若你已在控制器中对
$data['content']手动调用过htmlspecialchars()，再在模板写{$data.content}就会双重转义，导致变成 <code> - 富文本内容必须用
{:$data.content|raw}输出，但前提是该内容已由HTMLPurifier白名单过滤过；直接|raw等同于裸奔 - 向 JS 变量注入时（如
var title = "{$title}";），{$title}的 HTML 转义无效，应改用{:json_encode($title, JSON_UNESCAPED_UNICODE)}
filter_var() 和 default_filter 配合使用的坑
filter_var() 是 PHP 原生输入净化函数，在 ThinkPHP 中可自由调用，但它和框架的 default_filter 机制完全独立，不共享配置也不互相触发。
立即学习“PHP免费学习笔记（深入）”；
-
FILTER_SANITIZE_FULL_SPECIAL_CHARS（PHP 7.4+ 推荐）等价于htmlspecialchars($str, ENT_COMPAT | ENT_HTML5)，适合表单提交入口统一净化，但注意：它只转义，不删除，也不处理 null 字节或非法 UTF-8 —— 这些需靠mb_check_encoding($str, 'UTF-8')补充校验 - 不要混用
filter_var($str, FILTER_SANITIZE_STRING)：PHP 8.1+ 已彻底移除该常量，运行时报ValueError - 若业务要求用户名只含字母数字下划线，应先
filter_var($str, FILTER_SANITIZE_FULL_SPECIAL_CHARS)防 XSS，再preg_replace('/[^a-zA-Z0-9_]/u', '', $str)删除非法字符；顺序反了，正则可能被未过滤的恶意字节破坏
中文、emoji 和宽字符场景下的实际限制
ThinkPHP 默认的 htmlspecialchars() 在处理中文和 emoji 时依赖 PHP 的 mbstring 扩展和正确设置的 default_charset。一旦缺失或编码不一致，就可能出现乱码或过滤失效。
- 确保
php.ini中default_charset = "UTF-8"，且所有文件保存为 UTF-8 无 BOM 格式；否则htmlspecialchars()可能因检测不到编码而静默失败 - emoji 是 4 字节 UTF-8 字符，MySQL
utf8编码不支持，必须用utf8mb4；但htmlspecialchars()对其正常转义，无需额外处理 - 使用
preg_replace()过滤时，正则必须加/u修饰符（如/[^\w\x{4e00}-\x{9fa5}]/u），否则中文范围匹配会失效 - ThinkPHP 的
validate规则（如alphaNum）默认不支持中文，需自定义规则或改用正则验证^[a-zA-Z0-9\x{4e00}-\x{9fa5}]+$
最易被忽略的一点：所有过滤都应在数据进入业务逻辑前完成，而不是在入库或输出前临时补救。ThinkPHP 的 input() 和模板 {$} 只是工具，真正的防线是你在控制器里明确决定“这个字段要什么、不要什么、在哪一步清理”。
