记录几个要点: 用户使用firbug伪造表单字段,比如伪造表单id字段,如何防止,tp5中好像没有. xss攻击:使用htmlspecialchars() 会把img.p.等等合法标签过滤掉,想要有选择性过滤标签,使用htmlpurifier软件包,搜索htmlpurifier下载解压,把library放到项目目录中.如果是框架,那么把相关代码放在公共文件中生成一个函数,方便随时调用. /** * htmlpurifier 过滤js脚本 // 有选择性的过滤XSS --> 说明:性能非常低->…