启用CSRF防护、输出过滤防XSS、参数化查询防SQL注入、RBAC权限控制是Yii安全核心。通过配置request组件开启CSRF，使用Html::encode()转义输出，结合查询构建器与绑定参数操作数据库，并基于IdentityInterface和behaviors实现认证授权，可有效防御常见Web攻击，提升应用安全性。
在使用Yii框架开发PHP应用时，安全防护是不可忽视的重要环节。Yii本身提供了多种内置机制来帮助开发者构建安全的应用程序。通过合理配置和使用这些功能，可以有效防范常见Web攻击，如跨站脚本（XSS）、跨站请求伪造（CSRF）、SQL注入等。
启用CSRF防护
Yii默认支持CSRF（跨站请求伪造）防护，尤其在处理表单提交时非常关键。开启该功能可防止恶意站点利用用户登录状态发起非法请求。
确保在控制器或全局配置中启用CSRF验证：
- 在视图中使用Html::beginForm()生成表单，会自动插入隐藏的CSRF令牌字段
- 检查配置文件web.php中
request组件是否设置了enableCsrfValidation => true - 对于AJAX请求，需从页面获取CSRF令牌并随请求头（如X-CSRF-Token）发送
输出过滤与XSS防御
为防止跨站脚本攻击（XSS），所有用户输入在输出到页面前必须进行转义。
立即学习“PHP免费学习笔记（深入）”；
- 使用\yii\helpers\Html::encode()对输出内容进行编码，避免脚本执行
- 在视图模板中，推荐使用
= Html::encode($userInput) ?>而非直接打印变量 - 若需输出原始HTML内容，应先进行严格的内容过滤或使用HTML Purifier扩展
数据库操作与SQL注入防范
Yii的查询构建器和ActiveRecord能有效防止SQL注入，前提是正确使用。
避免拼接原始SQL语句，采用参数化查询：
- 使用$query->andWhere(['=', 'username', $username])方式构造条件
- 执行原生SQL时，务必使用绑定参数：
createCommand($sql)->bindValue(':name', $name) - 不要将用户输入直接嵌入SQL字符串中
身份认证与权限控制
Yii的RBAC（基于角色的访问控制）系统可用于实现精细的权限管理。
合理配置用户认证和授权流程：
- 继承\yii\web\IdentityInterface实现安全的用户类
- 使用
behaviors()方法在控制器中设置访问规则，限制未登录用户访问敏感操作 - 通过Yii::$app->user->can('permissionName')检查具体操作权限
基本上就这些。只要遵循Yii的安全实践，结合合理的配置和编码习惯，就能大幅提升PHP应用的整体安全性。不复杂但容易忽略。
