如何配置ThinkPHP的全局过滤规则来提升网站安全性？

本文共计1273个文字，预计阅读时间需要6分钟。

如果您在ThinkPHP项目中需要对所有用户输入参数实施统一的系统级安全处理，防止XSS、HTML注入等风险，则必须通过框架提供的安全机制进行全局配置。以下是一种具体的配置方式：

一、配置application/config.php中的default_filter

该方式适用于ThinkPHP 5.0及5.1版本，通过修改全局默认过滤函数实现对所有input()、request()->param()等获取的数据自动清洗。其原理是Request类在input()方法内部调用filter()时，若未显式传入filter参数，则自动应用此配置值。

1、打开application/config.php文件。

2、在配置数组中添加或修改'default_filter'项，例如：'default_filter' => 'htmlspecialchars,strip_tags,trim'。

立即学习“PHP免费学习笔记（深入）”；

3、确保该配置位于return [ ... ]结构内，且键名拼写准确无误。

4、保存后重启Web服务（如Apache或Nginx），使配置生效。

注意：TP6.x已废弃default_filter配置，此方法不适用于ThinkPHP 6。

二、在app/middleware.php中注册全局中间件过滤

该方式兼容TP5.1与TP6.x，通过中间件在请求生命周期早期拦截并清洗原始GET/POST数据，再合并回Request对象，从而影响后续所有input()调用结果。其核心在于避免绕过中间件直接读取$_GET/$_POST。

1、创建中间件类，例如app/middleware/GlobalInputFilter.php，内容包含对$request->get()和$request->post()的遍历清洗逻辑。

2、使用htmlspecialchars()或filter_var($value, FILTER_SANITIZE_STRING)逐字段处理字符串值，跳过数组、对象等非标量类型。

3、调用$request->mergeParam($cleanedData)（TP6.1+）或通过反射修改$request->param属性（旧版TP6）以注入清洗后数据。

4、在app/middleware.php中将该中间件加入全局中间件数组，例如：[\app\middleware\GlobalInputFilter::class]。

关键提示：必须在handle()方法中return $next($request)，否则请求将中断。

三、启用request_filter_rules全局规则集（TP5.0专属）

该方式为TP5.0特有机制，通过扩展配置项request_filter_rules定义字段级白名单过滤策略，比default_filter更精细，可规避全量清洗导致JSON字段损坏等问题。

1、在application/config.php中添加'request_filter_rules'配置项。

2、设定通配符规则，例如：'*' => ['trim', 'htmlspecialchars']，表示所有字段均执行trim与转义。

3、也可指定字段白名单，例如：'user' => ['htmlspecialchars'], 'content' => ['htmlspecialchars_decode']。

4、确认'request_filter' => true已开启，否则规则不加载。

注意：此配置仅TP5.0支持，TP5.1+及TP6均不可用。

四、基于验证器的字段级filter声明（TP6推荐）

该方式不依赖全局配置，而是将过滤逻辑绑定至验证规则本身，适用于需差异化处理不同接口字段的场景。其原理是在验证器实例调用check()时，对匹配字段执行指定过滤函数，并仅作用于验证流程内部数据副本。

1、在验证器类（如app/validate/UserValidate.php）的规则数组中，为字段添加'filter'键，例如：'title|标题' => 'require|filter:htmlspecialchars'。

2、确保使用实例化方式调用验证，而非静态调用：(new UserValidate())->check($data)。

3、若需批量过滤多个字段，可在scene中统一配置'filter' => ['name' => 'trim', 'email' => 'strtolower']。

4、调用前必须先执行data($data)绑定原始数据，否则filter无效。

重要提醒：filter操作不会修改原始$data数组，仅影响验证器内部副本。

五、通过路由中间件按分组启用过滤（精准控制）

该方式适用于仅需对特定路由前缀（如/admin/、/api/v1/）启用过滤，而排除登录页、静态资源等无需清洗路径的场景。其优势在于避免全局性能损耗与误伤合法数据。

1、在route/middleware.php中定义分组中间件，例如：Route::group('admin', function () { ... })->middleware('global_filter');。

2、创建app/middleware/GlobalFilter.php，逻辑同第二项中间件，但仅对匹配分组的请求执行。

3、在中间件handle()中加入路径判断，例如：if (strpos($request->url(), '/public/') === 0) return $next($request);。

4、注册该中间件至分组，确保其位于路由定义之后、->middleware()调用之前。

务必检查中间件是否被静态资源请求触发，否则可能导致CSS/JS加载失败。