安全建议

输入安全

虽然ThinkPHP的底层安全防护比之前版本要强大不少，但永远不要相信用户提交的数据，建议务必遵守下面规则：

设置public目录为唯一对外访问目录，不要把资源文件放入应用目录；
开启表单令牌验证避免数据的重复提交，能起到CSRF防御作用；
使用框架提供的请求变量获取方法（Request类param方法及input助手函数）而不是原生系统变量获取用户输入数据；
对不同的应用需求设置default_filter过滤规则（默认没有任何过滤规则），常见的安全过滤函数包括stripslashes、htmlentities、htmlspecialchars和strip_tags等，请根据业务场景选择最合适的过滤方法；
使用验证类对业务数据设置必要的验证规则；
如果可能开启强制路由或者设置MISS路由规则，严格规范每个URL请求；

在确保用户请求的数据安全之后，数据库的安全隐患就已经很少了，因为数据操作默认使用了PDO预处理机制及自动参数绑定功能，请确保：

如果你使用的是V5.1.10以下版本，建议尽快更新到该版本（或者以上版本）

网站的上传功能也是一个非常容易被攻击的入口，所以对上传功能的安全检查是尤其必要的。

系统的think\File提供了文件上传的安全支持，包括对文件后缀、文件类型、文件大小以及上传图片文件的合法性检查，确保你已经在上传操作中启用了这些合法性检查。

最后一点，及时关注官方安全更新，并更新到官方建议的安全版本，建议更新V5.1.10+版本，该版本包含安全更新。