ThinkPHP5.1的default_filter='htmlspecialchars'是危险配置，因无差别转义破坏JSON/JS/URL等上下文，导致功能异常且掩盖XSS风险；真防护须按输出位置显式编码：HTML文本用htmlspecialchars($x, ENT_QUOTES)，属性值同理，JSON/JS/富文本等必须|raw并配合json_encode或HTMLPurifier。
ThinkPHP5.1模板变量默认会走 htmlentities，但这是个假安全——它不区分上下文，JSON、JS内联、URL参数全被乱转义，反而破坏功能；真XSS防护必须按输出位置显式处理。
为什么 default_filter 配置是危险的
配置项 'default_filter' => 'htmlspecialchars' 看似省事，实际埋雷：
- 它对所有模板变量无差别调用
htmlentities()，哪怕变量正用于data-json="{:json_encode($data)}"或<script>var x = "{:$user}";</script>，结果 JSON 格式损坏、JS 语法报错 - 函数名拼错（比如写成
htmlspecialchar）时，框架静默失败，所有变量输出变null，页面白屏却无报错 - HTML 属性值、CSS 内联、JavaScript 字符串、URL 查询参数，需要的编码方式完全不同，一个函数无法覆盖
模板中正确转义的三种写法
只在真正输出到 HTML 文本内容的位置，用 htmlspecialchars 显式包裹：
- 普通 HTML 文本：使用
{:htmlspecialchars($user_input, ENT_QUOTES)}—— 注意传ENT_QUOTES，否则单引号不转义，仍可闭合属性触发 XSS - HTML 属性值（如
title、alt）：同样用htmlspecialchars，但需确保引号匹配，避免被绕过：title="{:htmlspecialchars($title, ENT_QUOTES)}" - 需要原样输出（如 JSON、富文本、JS 变量初始化）：必须加
|raw，否则默认htmlentities会二次转义：{:$json_data|raw}、{:$html_content|raw}
原生 JS 或 JSON 输出必须绕过 default_filter
以下写法在 TP5.1 中极易出问题：
立即学习“PHP免费学习笔记（深入）”；
<script>
var user = "{:$name}";
</script>
因为 $name 被 htmlentities 处理过，双引号变成 "，JS 解析失败。正确做法是：
- 先在控制器里做好上下文适配：
$this->assign('js_name', addslashes($name)); - 模板中禁用自动转义：
{:$js_name|raw} - 更稳妥的方式是统一走 JSON 编码：
var data = {:json_encode($data)|raw};——json_encode自带引号和反斜杠转义，|raw防止被htmlentities再套一层
富文本和动态 JS 场景不能依赖模板过滤
用户提交的富文本（如后台编辑器内容）、或需动态拼接 JS 的场景，htmlspecialchars 直接破坏语义。此时必须换方案：
- 富文本输出前，用
HTMLPurifier白名单过滤：remove_xss($content)（需composer require ezyang/htmlpurifier） - 动态 JS 拼接应彻底避免，改用数据驱动（如把参数塞进
data-属性，前端 JS 读取） - 绝对不要在模板里写
{:input('callback')|raw}并直接执行——这等于开放 eval
最常被忽略的一点：XSS 不是从输入开始的，而是从输出失控那一刻发生的。框架的 default_filter 给人一种“已防护”的错觉，反而让开发者放松对输出上下文的判断。真正的防线，永远在 {:...} 花括号那一层。
