ThinkPHP 8.0 接口安全需分层落实四类措施：字段白名单（allowField+schema校验）、参数签名+时间窗（原始body读取、字典序拼接、nonce防重放）、输出上下文隔离（HTML/属性/JS/富文本差异化编码）、CSRF与CORS协同防护（动态Origin白名单、精确Headers）。
ThinkPHP 8.0 接口开发没有“一键安全”开关，必须分层落实字段控制、参数校验、传输防护与输出防护四类措施。框架已移除自动转义和全局过滤，依赖旧习惯会直接暴露 XSS、SQL 注入、越权写入等风险。
字段白名单：防止非法参数入库
仅靠验证器不能拦住非法字段，必须用 allowField() 做第一道屏障：
- 控制器中模型保存前显式调用，如
$user->allowField(['username', 'email', 'mobile'])->save($data) - 白名单数组必须来自配置文件或数据库可信查询结果，禁止拼接用户输入
- 执行
(new User())->getSchema()->getFields()校验白名单字段是否真实存在于数据表中，剔除无效项
参数签名+时间窗：防抓包重放与篡改
签名失效主因是没读原始请求体，服务端必须还原客户端发出的字节流：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 在中间件
handle()开头，用file_get_contents('php://input')一次性读取原始 body - 关闭自动解析：
config/app.php中设'json_decode' => false - 签名原文按字典序拼接所有非空业务参数 +
appid+timestamp+nonce+v，剔除sign字段 - 校验
timestamp是否在当前时间 ±15 分钟内，nonce是否在 Redis 中未出现过（有效期同 token）
输出上下文隔离：杜绝 XSS 漏洞
不能只用 htmlspecialchars 通杀，不同输出位置必须匹配对应编码方式：
立即学习“PHP免费学习笔记（深入）”；
- HTML 文本内容：模板中用
{:htmlspecialchars($var, ENT_QUOTES | ENT_HTML5, 'UTF-8')}或 TP8.0.1+ 的{$var|html}（注意不转义单引号） - HTML 属性值（如
title="{$title}"）：确保属性用引号包裹，且内容已按 HTML 上下文转义 - JS 内联字符串（如
<script>var data = "{$data}";</script>）：必须用json_encode($data, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_QUOT) - 富文本内容：必须经
HTMLPurifier白名单净化，禁用 script、style、onxxx 等危险标签
CSRF 与 CORS 协同防护
接口若需携带 Cookie 或 Authorization 头，CSRF 和跨域策略必须严格对齐：
- 开启 CSRF：在
config/app.php中设'form_token' => true，并配好token_salt和token_ttl（建议 300–1800 秒） - API 路由加
->option(['token' => true])，表单页调用{:token()}，AJAX 请求需传_token字段 - CORS 响应头中
Access-Control-Allow-Origin不可用*，须动态校验Origin白名单后才设置；Access-Control-Allow-Headers必须精确列出前端实际发送的自定义头（大小写敏感、无空格）
