Laravel基础认证下代码可存入数据库的问题求助

首先得明确一点：Laravel的默认认证体系不会自动过滤HTML或PHP标签，这不是框架的疏漏，而是因为框架无法预判你的业务场景——有些场景（比如博客内容）需要允许富文本，而有些场景（比如用户姓名）只需要纯文本，所以把过滤的控制权交给了开发者。

针对你的情况，这里有几种可行的解决方案：

1. 在数据存入前过滤（推荐） #

你可以在创建用户时，对输入的文本进行过滤，确保只有纯文本存入数据库。有两种常用方式：

方式一：在控制器的create方法中直接处理 #

修改RegisterController里的create方法，对需要过滤的字段使用htmlspecialchars()（转义特殊字符为HTML实体）或strip_tags()（直接移除所有标签）：

protected function create(array $data)
{
    return User::create([
        'role' => htmlspecialchars($data['role'], ENT_QUOTES, 'UTF-8'),
        'gendre'=> htmlspecialchars($data['gendre'], ENT_QUOTES, 'UTF-8'),
        'firstname' => htmlspecialchars($data['firstname'], ENT_QUOTES, 'UTF-8'),
        'lastname' => htmlspecialchars($data['lastname'], ENT_QUOTES, 'UTF-8'),
        'country' => htmlspecialchars($data['country'], ENT_QUOTES, 'UTF-8'),
        'company' => htmlspecialchars($data['company'], ENT_QUOTES, 'UTF-8'),
        'phone' => htmlspecialchars($data['phone'], ENT_QUOTES, 'UTF-8'),
        'email' => $data['email'], // 邮箱不需要过滤，验证规则已经保证格式正确
        'password' => Hash::make($data['password']),
    ]);
}

方式二：使用模型修改器（更优雅） #

在User模型中定义字段修改器，这样无论通过哪种方式创建/更新用户，都会自动过滤字段：

namespace App;

use Illuminate\Contracts\Auth\MustVerifyEmail;
use Illuminate\Foundation\Auth\User as Authenticatable;
use Illuminate\Notifications\Notifiable;

class User extends Authenticatable implements MustVerifyEmail
{
    use Notifiable;

    // ... 原有代码 ...

    // 为firstname字段定义修改器
    public function setFirstnameAttribute($value)
    {
        $this->attributes['firstname'] = htmlspecialchars($value, ENT_QUOTES, 'UTF-8');
    }

    // 同理，为其他需要过滤的字段添加修改器
    public function setLastnameAttribute($value)
    {
        $this->attributes['lastname'] = htmlspecialchars($value, ENT_QUOTES, 'UTF-8');
    }

    public function setRoleAttribute($value)
    {
        $this->attributes['role'] = htmlspecialchars($value, ENT_QUOTES, 'UTF-8');
    }

    // 继续添加gendre、country、company、phone的修改器...
}

2. 在输出时自动转义（保底方案） #

如果你已经有数据存入数据库，或者不想修改存入逻辑，Blade模板默认会自动转义变量。比如在模板中使用：

{{ $user->firstname }}

这会自动把<?php die(); ?>转义为<?php die(); ?>，浏览器只会显示文本，不会执行代码。

⚠️ 注意：如果你用{!! $user->firstname !!}输出，会跳过转义，这时候就会有安全风险，所以除非你确定内容是安全的，否则不要用这种方式输出用户输入的内容。

3. 在验证阶段限制输入 #

你可以在验证规则中添加正则表达式，禁止用户输入HTML/PHP标签：

修改RegisterController里的validator方法，给需要限制的字段添加regex规则：

protected function validator(array $data)
{
    return Validator::make($data, [
        'role' => ['required', 'string', 'max:100', 'regex:/^[^<>]+$/'],
        'gendre' => ['required', 'string', 'max:100', 'regex:/^[^<>]+$/'],
        'firstname' => ['required', 'string', 'max:100', 'regex:/^[^<>]+$/'],
        // 其他字段同理...
        'email' => ['required', 'string', 'email', 'max:100', 'unique:users'],
        'password' => ['required', 'string', 'min:8', 'confirmed'],
    ]);
}

这个正则^[^<>]+$会禁止输入<和>，从而阻止HTML/PHP标签的输入。不过这种方式比较严格，可能会误杀一些合法的特殊字符，你可以根据需求调整正则表达式。

总结 #

最推荐的是方式一或方式二，从源头过滤用户输入，同时配合Blade的默认转义，双重保障安全。Laravel的设计理念是"约定大于配置"，但安全细节需要开发者根据业务场景自行处理，这也是框架灵活性的体现。

内容的提问来源于stack exchange，提问作者SmartNotHard