如何配置ThinkPHP的全局过滤规则来提升网站安全性？

本文共计1273个文字，预计阅读时间需要6分钟。

如果您在ThinkPHP项目中需要对所有用户输入参数实施统一的系统级安全处理，防止XSS、HTML注入等风险，则必须通过框架提供的安全机制进行全局配置。以下是一种具体的配置方式：

一、配置application/config.php中的default_filter

该方式适用于ThinkPHP 5.0及5.1版本，通过修改全局默认过滤函数实现对所有input()、request()->param()等获取的数据自动清洗。其原理是Request类在input()方法内部调用filter()时，若未显式传入filter参数，则自动应用此配置值。

1、打开application/config.php文件。

2、在配置数组中添加或修改'default_filter'项，例如：'default_filter' => 'htmlspecialchars,strip_tags,trim'。

立即学习“PHP免费学习笔记（深入）”；

3、确保该配置位于return [ ... ]结构内，且键名拼写准确无误。

4、保存后重启Web服务（如Apache或Nginx），使配置生效。

注意：TP6.x已废弃default_filter配置，此方法不适用于ThinkPHP 6。

二、在app/middleware.php中注册全局中间件过滤

该方式兼容TP5.1与TP6.x，通过中间件在请求生命周期早期拦截并清洗原始GET/POST数据，再合并回Request对象，从而影响后续所有input()调用结果。其核心在于避免绕过中间件直接读取$_GET/$_POST。