在使用 ThinkPHP 框架时，有哪些途径能够实现全局数据过滤，并借此防止非法请求的入侵？请列举可行的方案。
考察说明
考查候选人对 ThinkPHP 全局数据过滤机制及安全防护手段的掌握程度。
回答思路
- 【回答框架 1】ThinkPHP 提供自动过滤功能，可以在模型层定义过滤规则，例如使用过滤器属性或修改器对数据进行统一处理，但这是针对 ORM 操作的。
- 【回答框架 2】另一种常见做法是在入口文件或公共控制器中调用 input 过滤函数，通过 array_walk 递归过滤输入变量，或者使用内置的 filter 扩展对参数进行格式化。
- 【回答框架 3】针对非法请求，ThinkPHP 支持路由检测、请求类型验证（如 POST/GET 限制）以及表单令牌（token）验证，可有效防止 CSRF 攻击。
- 【回答框架 4】还可以结合中间件机制，在请求进入控制器前执行自定义过滤逻辑，实现全局拦截和参数清洗。
- 【回答框架 5】对于特定场景，可使用参数绑定或 PDO 预处理，避免 SQL 注入，同时配合验证器进行字段规则校验，从源头上拒绝非法数据。
- 【关键点 1】ThinkPHP 模型层自动过滤与修改器可统一处理数据。
- 【关键点 2】通过公共控制器或入口文件递归过滤 input 变量。
- 【关键点 3】请求类型验证和表单令牌可防 CSRF。
- 【关键点 4】中间件适合做全局请求过滤。
- 【关键点 5】参数绑定和验证器防止注入和非法字段。
- 【易错点 1】仅依赖客户端过滤或前端校验，无法保证安全。
- 【易错点 2】过滤规则不当可能导致业务数据被破坏（如去除合法特殊字符）。
- 【易错点 3】忽略请求头或 HTTP 方法校验，可能被绕过。