因str_replace导致的注入问题