Yii1：能否通过beforeAction统一Sanitize控制器共享的GET参数？

当然可以！这其实是Yii1里实现跨Action参数统一处理的非常优雅的方案，完全能帮你避免在每个Action里重复写Sanitize代码，我来给你拆解具体怎么做：

核心思路 #

Yii1的CController提供的beforeAction方法，会在每个Action执行前触发。你可以在这里拦截所有Action的传入参数，对共用的type做统一清洗，处理完后再让Action继续执行，这样后续所有Action拿到的都是干净的参数。

具体实现步骤 #

1. 访问并处理参数 #

在beforeAction里，你可以通过$this->actionParams（框架封装的参数集合，推荐用这个，比直接操作$_GET/$_POST更规范）获取到当前请求的参数。然后针对type做业务需要的Sanitize处理。

2. 代码示例 #

class YourController extends CController
{
    protected function beforeAction($action)
    {
        // 必须先调用父类的beforeAction，保证框架基础逻辑（比如权限、Action合法性）正常执行
        if (!parent::beforeAction($action)) {
            return false;
        }

        // 统一处理共用的type参数
        if (isset($this->actionParams['type'])) {
            // 示例1：白名单过滤（适合枚举类型的type）
            $allowedTypes = ['article', 'video', 'image'];
            $rawType = trim($this->actionParams['type']);
            $sanitizedType = in_array($rawType, $allowedTypes) ? $rawType : 'article'; // 设置默认值

            // 示例2：XSS过滤（适合字符串类型的参数）
            // $sanitizedType = CHtml::encode($rawType);

            // 把清洗后的参数重新赋值，后续Action直接使用即可
            $this->actionParams['type'] = $sanitizedType;

            // 如果type是POST传递的，同理处理：
            // if (isset($_POST['type'])) {
            //     $_POST['type'] = $sanitizedType;
            // }
        }

        return true; // 返回true才会继续执行对应的Action
    }

    // 示例Action：直接使用已清洗的type参数
    public function actionList()
    {
        $type = $this->actionParams['type'];
        // 这里的$type已经是处理好的，无需重复写清洗逻辑
        // ... 你的业务代码
    }

    public function actionDetail()
    {
        $type = $this->actionParams['type'];
        // 同样直接用干净的参数
        // ... 你的业务代码
    }
}

额外注意事项 #

• 如果只有部分Action需要处理type参数，可以通过$action->id判断Action名称，针对性处理：

  $targetActions = ['list', 'detail'];
  if (in_array($action->id, $targetActions) && isset($this->actionParams['type'])) {
      // 你的清洗逻辑
  }
  

• Sanitize逻辑要贴合业务：枚举类型用白名单最安全，字符串用CHtml::encode防XSS，数字类型用intval/floatval强制转换，避免注入风险。

内容的提问来源于stack exchange，提问作者Sasha