如何有效防范Laravel应用中的XSS攻击？用户输入HTML过滤技巧解析。

本文共计884个文字，预计阅读时间需要4分钟。

《Blade 的 {{}} 默认转换不能替代 HTML 优化，富文本场景下必须额外处理，否则直接 {{!}}!}} 等同于开启后门。》

Blade {{ }} 转义到底防住了什么

它只在模板渲染时对变量做 htmlspecialchars($value, ENT_QUOTES, 'UTF-8')，把 、<code>>、"、& 等字符变成对应 HTML 实体。这意味着：

• 用户提交的 <script>alert(1)</script> 会原样显示为文本，不会执行
• 但若用户输入的是 <img src=x onerror=alert(1)>，转义后仍保留完整标签结构，只是字符被编码——而浏览器在某些上下文中（如属性值未闭合、内联事件）仍可能触发执行
• 它不解析 HTML 结构，不移除危险标签或属性，也不校验 URL 协议、javascript: 伪协议等

什么时候必须用 HTMLPurifier 或类似库

只要业务允许用户提交“带格式的内容”，比如后台富文本编辑器、评论区支持加粗/链接/图片、CMS 文章正文，就属于高风险场景。