ThinkPHP隐藏技巧：利用Behavior实现全局数据过滤

创建WordsFilterBehavior行为类

在 Application/Common/Behavior/ 目录下新建 WordsFilterBehavior.class.php 文件（TP5+ 需改为 WordsFilterBehavior.php 并使用命名空间）。该类必须继承 think\Behavior\Behavior，核心方法 run() 接收一个引用参数 &$params——注意，这是框架传入的原始 POST/GET 数据快照，而非全局变量 $_POST。

引用符号 & 绝对不能遗漏，否则后续所有修改都不会影响请求数据。这一点容易踩坑，特此提醒。

实现递归清洗逻辑

在 run() 方法内部，调用私有方法 loopFilter() 对 $params 进行深度遍历：

① 首先判断 is_string($params)，若是则直接进入敏感词过滤；

② 若为数组，则逐层 foreach，对每个值进行类型判断——遇到字符串才调用 filter()，遇到子数组则递归调用 loopFilter()；

③ 遇到对象、资源、布尔值等非标量类型时直接跳过，不传入 filter()，否则会引发警告或崩溃。

严格判断类型这一步至关重要。深层嵌套的 JSON 字段或文件上传数组，如果被错误转义，会导致入库失败。根据经验，多数由过滤引发的线上问题，根源都在此处。

编写安全的敏感词过滤函数

方法一：基础 str_replace 批量替换

从配置文件读取 C('SENSITIVE_WORDS') 返回的字符串数组，使用 str_replace($badWords, '***', $string) 一次性完成全部替换——此方法比循环调用快 5 倍以上，适合词库小于 500 条的场景。

方法二：正则边界匹配防误杀

构造 '/\b('.implode('|', array_map('preg_quote', $words)).')\b/iu' 正则表达式，用 preg_replace() 执行替换。注意必须使用 preg_quote，否则词库中的点号或方括号会导致正则编译失败。

方法三：预处理防变体绕过

先用 preg_replace('/[\s\p{P}]+/u', '', $string) 清除所有空白符和标点，再执行核心匹配——这能拦截“傻@逼”“shǎ bī”等变形输入，但会破坏原始格式，仅适用于纯文本内容。

【特别注意：如果框架已对 POST 数据执行过 htmlspecialchars()，必须先用 html_entity_decode() 还原，否则原始词库无法匹配编码后的字符串。该问题在 TP5 某些版本中尤为常见。】

注册行为到系统入口

打开 Application/Common/Conf/tags.php（TP3.2）或 app/provider.php（TP6），在 action_begin 标签位置注入该行为：

TP3.2 写法：'action_begin' => array('Common\Behavior\WordsFilterBehavior')；

TP6 写法：在 provider.php 中添加 think\facade\Hook::listen('action_begin', $request->param()); 并绑定行为实例。

注册完成后，所有控制器的 input()、post()、param() 获取的数据，都已经是清洗过的版本。这才是真正的“配置一次，全局生效”。