Question

Yii 框架里 Yii::app()->request->getParam();这种方法获取到的get post参数有没有过滤不安全字符的功能？

Yii 框架里 Yii::app()->request->getParam();这种方法获取到的get post参数有没有过滤不安全字符的功能？

或者说Yii对$_GET $_POST有没有进行字符过滤，有没有安全机制

Answer 1

YII框架确实在输入中没有过滤，但是在输出中过滤了，用Html::encode()和HtmlPurifier::process方法，同样的类似laravel等框架也都是在输出时过滤，而不是在输入时过滤（在模板{}中过滤），目前主流的方法都是在输出时过滤，因为输入时就是普通的文本，存入数据库时没有任何影响，而输出时才能展示破坏的威力

Answer 2

安全机制在model中rules中。