如何利用ThinkPHP的htmlspecialchars方法有效预防XSS攻击？

本文共计766个文字，预计阅读时间需要4分钟。

ThinkPHP 不自动转义输出，必须显式调用 `specialchars()` 函数，参数必须写全，否则可能引发 XSS 攻击。

为什么 htmlspecialchars() 在 ThinkPHP 中经常失效

不是函数没用，而是调用姿势错了。ThinkPHP 模板里写 {$content} 默认不转义；控制器里直接 echo $input 更是裸奔。常见失效原因包括：

• 漏传第三个参数 'UTF-8'，导致多字节编码绕过（如 %C0%AE%C0%AE/ 路径遍历+XSS 组合）
• 只用 ENT_COMPAT 或不传标志，单引号未转义，攻击者可用 onerror="alert(1)" 触发
• 在模板中用 {$content|htmlspecialchars}，但该简写默认不带 ENT_QUOTES，等价于 htmlspecialchars($content, ENT_COMPAT)
• 对富文本字段也套 htmlspecialchars()，结果 <p>Hello</p> 显示成源码，而非渲染后的段落

ThinkPHP 6 中正确调用 htmlspecialchars() 的位置和写法

TP6 已彻底移除 default_filter 配置，所有过滤必须显式、按需进行。