如何设置Yii框架以防御XSS攻击及输入输出过滤？

本文共计1076个文字，预计阅读时间需要5分钟。

《Yii框架的XSS防护并非开关即完事，核心在于输入校验++输出转义++富文本单行过滤三层动作缺失一层，漏掉任意一层，例如仅做Html::encode()但未处理富文本、或仅过滤输入但不处理输出，都可能导致被绕过。》

Html::encode() 什么时候够用，什么时候不够用

纯文本场景下（如用户名、标题、地址），Html::encode($userInput) 是最轻量也最安全的选择：它把 变成 <code><，script 标签直接失效，连解析机会都不给。