在 Yaf 框架开发中，如果要实现全局性的数据过滤，你会采用哪些具体方法？从框架层面看，有哪些途径可以拦截并阻止非法请求？
考察说明
考查对 Yaf 框架中全局数据过滤机制的掌握，以及防御非法请求的实践方案。
回答思路
- 【回答框架 1】Yaf 作为 C 扩展实现的 PHP 框架，提供基于钩子的全局机制。最核心的是插件（Plugin）机制，通过注册前置钩子（routerStartup、routerShutdown、dispatchLoopStartup、preDispatch 等）在请求分发前或动作执行前统一过滤输入数据。
- 【回答框架 2】利用 Yaf_Request_Abstract 提供的 getQuery、getPost、getRequest、getCookie 等方法获取原始数据，在插件或基类控制器中遍历过滤，去除危险字符、校验格式、强制类型转换，必要时直接拒绝请求。
- 【回答框架 3】也可通过 Yaf_Dispatcher 的 setReturnResponse 和注册自定义路由或请求对象实现拦截，但主流做法是结合插件与 Bootstrap 初始化，集中设置过滤规则和防非法请求策略。
- 【回答框架 4】过滤后需确保安全性，比如使用 filter_var、htmlspecialchars 等函数净化输出，以及采用白名单校验参数，防止 SQL 注入、XSS 等攻击。
- 【关键点 1】Yaf 插件机制提供全局拦截点，常用 preDispatch 或 routerStartup 实现统一过滤。
- 【关键点 2】在插件中获取请求参数，通过白名单、正则、类型强制转换等手段过滤非法数据。
- 【关键点 3】结合 HTTP 方法校验、CSRF 令牌验证、请求频率限制等可有效阻止非法请求。
- 【易错点 1】仅在控制器内过滤容易遗漏，需在全局插件中统一处理。
- 【易错点 2】过度依赖框架内置功能而忽略应用层自定义规则，可能导致过滤不全面。
- 【易错点 3】过滤后未正确转义输出，可能引入 XSS 风险。