Laravel通过Eloquent ORM和查询构造器使用PDO参数绑定，有效防止SQL注入；建议避免拼接原生SQL，必要时使用参数化查询。Blade模板默认转义输出，防御XSS攻击；需输出富文本时应结合laravel-purifier等净化库。配合表单验证、CSP头设置、CSRF保护及文件上传检查，全面提升应用安全。
在使用 Laravel 开发 Web 应用时，防止 SQL 注入和 XSS（跨站脚本）攻击是保障应用安全的关键环节。Laravel 本身提供了多种机制来帮助开发者有效防御这两类常见攻击。
防护 SQL 注入
Laravel 默认采用 Eloquent ORM 和查询构造器，这些工具底层使用 PDO 参数绑定，从根本上避免了 SQL 注入的风险。
说明与建议：
-
使用 Eloquent 或 Query Builder：尽量避免拼接原始 SQL。例如，使用
User::where('name', $name)->get()，Laravel 会自动对$name进行参数绑定，防止恶意输入破坏语句结构。 -
如需执行原生 SQL，务必使用参数绑定：若必须使用
DB::select()等方法，不要直接拼接变量。正确方式如下：DB::select("SELECT * FROM users WHERE name = ?", [$name]);或使用命名绑定：DB::select("SELECT * FROM users WHERE name = :name", ['name' => $name]); -
避免使用未经验证的用户输入构造查询：即使使用查询构造器，也应对输入进行校验，比如通过 Laravel 的
validate()方法过滤非法字符或格式。
防护 XSS 攻击
XSS 攻击通过在页面中注入恶意脚本，窃取用户信息或执行非法操作。Laravel 提供了多层防护来阻止此类攻击。
说明与建议：
-
Blade 模板默认转义输出：在 Blade 中使用
{{ $content }}时，Laravel 会自动将特殊字符转换为 HTML 实体，防止脚本执行。例如，会被转义为。 -
谨慎使用非转义输出：只有在确认内容安全时才使用
{!! $content !!}。如果必须输出富文本，建议配合 HTML 净化库，如 laravel-purifier，过滤掉 script、iframe 等危险标签。 -
表单请求验证与过滤：在控制器中使用 FormRequest 类对输入数据进行过滤和验证。可结合
strip_tags()或中间件在进入应用前清理输入。 - 设置 HTTP 头增强安全：启用 CSP（内容安全策略）响应头，限制页面可加载的资源来源，进一步降低 XSS 风险。可通过中间件或 Nginx/Apache 配置实现。
其他安全建议
- 保持 Laravel 版本更新，及时获取安全补丁。
- 使用 CSRF 保护（Laravel 默认开启），防止跨站请求伪造。
- 对用户上传文件进行类型、大小和内容检查，避免上传恶意脚本。
- 日志中避免记录敏感数据，防止信息泄露。
基本上就这些。只要合理利用 Laravel 内建的安全机制，并遵循开发规范，就能有效抵御 SQL 注入和 XSS 攻击。安全不是一劳永逸的事，需要持续关注输入处理和输出展示的每一个环节。
