ThinkPHP 8 加固版

框架版本：8.1.4（PHP 8.0.26）

1. 模板自动转义

下面这行故意传入了一段 <script>，页面应当把它当文本显示而不是执行：

<script>alert(1)</script>

普通变量输出默认走 htmlentities；只有显式加 |raw 才会原样输出，请谨慎使用。

2. CSRF 令牌

当前令牌：c4bc6c7d7dc1f5e5e7ce33014222b9b4412042c8fd94007b8e6f8a9f259fc1e1

下面的表单会自动带上令牌，由全局中间件校验：

把表单里 csrf_field() 那一行删掉再提交，会得到 csrf token mismatch。

3. 已开启的防护

• 强制显式路由：未定义的地址一律 404
• 全局安全响应头（CSP / nosniff / X-Frame-Options / HSTS 等）
• 按 IP 限流，登录注册接口单独收紧
• CSRF 校验、Cookie HttpOnly + SameSite
• 访问日志与统一错误页（不回显堆栈）

自检命令：php think security:check