ThinkPHP模板XSS漏洞本质是用户输入未经转义直接输出到HTML上下文导致恶意脚本执行，修复核心是建立“输出即转义”习惯并按上下文精准选择htmlspecialchars、json_encode、urlencode等处理方式，同时禁用{php}标签、设置全局default_filter、结合HTMLPurifier与CSP实现纵深防御。
ThinkPHP模板XSS漏洞本质是用户输入未经转义直接输出到HTML上下文中，导致恶意脚本在浏览器执行。修复核心不是堵某个函数，而是建立“输出即转义”习惯，结合上下文选择合适处理方式。
识别高危输出点
重点检查模板中所有{$var}、{:function($var)}、{php}echo $var;{/php}等直接输出位置，尤其是来自input()、cookie()、session()、数据库读取或URL参数的变量。例如：{$name}若$name来自input('name')且未过滤，就构成反射型XSS。
按上下文做精准转义
不能只用htmlspecialchars()一招打天下：
- 输出到HTML文本内容（如
<p>{$content}</p><div class="aritcle_card flexRow"> <div class="artcardd flexRow"> <a class="aritcle_card_img" href="/xiazai/skill5233" title="btpanel phpsite 宝塔面板PHP网站"><img src="https://img.php.cn/upload/skill/000/000/081/179040786932301.jpg" alt="btpanel phpsite 宝塔面板PHP网站" ></a> <div class="aritcle_card_info flexColumn"> <a href="/xiazai/skill5233" title="btpanel phpsite 宝塔面板PHP网站">btpanel phpsite 宝塔面板PHP网站</a> <p>宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理</p> </div> <a href="/xiazai/skill5233" title="btpanel phpsite 宝塔面板PHP网站" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span> </a> </div> </div> <p><span>立即学习</span>“<a href="https://pan.quark.cn/s/7fc7563c4182" style="text-decoration: underline !important; color: blue; font-weight: bolder;" rel="nofollow" target="_blank">PHP免费学习笔记（深入）</a>”；</p>）：用{|htmlspecialchars=ENT_QUOTES, 'UTF-8'}或模板引擎默认的{$content|html} - 输出到HTML属性值（如
<input value="{$val}">）：必须加引号，并用htmlspecialchars($val, ENT_QUOTES)，避免被闭合后注入事件 - 输出到JavaScript字符串（如
var msg = "{$msg}";）：不能用htmlspecialchars，应改用json_encode($msg, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG)并确保整个JS块用<script></script>标签包裹 - 输出到CSS或URL中：分别使用
css_escape()或urlencode()，禁止拼接进href="javascript:..."或onerror=等执行上下文
禁用危险模板语法与配置
关闭模板引擎的危险能力：
- 在
config/template.php中设置'tpl_deny_func_list' => ['phpinfo', 'system', 'exec', 'shell_exec']，禁止模板内调用敏感函数 - 禁用
{php}...{/php}和{literal}...{/literal}标签（除非绝对必要），避免绕过转义逻辑 - 将
'default_filter' => 'htmlspecialchars'设为全局默认，但注意它不覆盖JS/CSS等特殊上下文，仍需手动处理
从源头控制输入与增强防御纵深
输出转义是最后一道防线，还需前置加固：
- 对用户提交的富文本（如编辑器内容）使用
HTMLPurifier等白名单库过滤，而非简单strip_tags - 启用CSP策略，如
Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline'（上线前移除unsafe-inline） - 开发阶段开启
app_debug => true便于发现未转义点，但生产环境必须关闭，防止错误页泄露敏感信息
