在ThinkPHP框架中，可以通过使用PDO预处理语句来防止SQL注入问题。具体操作步骤如下：
使用模型层或查询构建器给出绑定参数的示例代码。
对于需要传入数据库的用户输入，应该使用 bindParam() 或者 bindValue() 方法将其绑定到 PDO 语句上，并采用占位符（如“?”）的形式让 PDO 预处理并转义。
尽可能使用数据库提供的功能进行比较、排序、限制和过滤等操作。
在配置文件 config.php 中，使用以下语句开启自动进行 HTML 实体编码以防范 XSS 攻击：'default_filter' => 'htmlentities'
此外，还可以使用 ThinkPHP 框架自带的 Security 类库来进一步加强 Web 安全性。其中包括 CSRF 防御、XSS 过滤、加密解密等功能。例如：
针对 CSRF 防御，可以在控制器基类中通过 checkToken() 方法增强验证机制。
针对 XSS 攻击，可以使用 strip_tags() 等函数或在HTML的可信任白名单标签内渲染用户的输入数据。
应用地址伪装，数据模型认证、尝试时间、IP黑白名单设置，表单令牌生成等技术相结合使用。
综上所述，为了防止SQL注入和XSS攻击，需要使用一系列安全措施，包括但不限于：使用PDO预处理语句进行数据操作、绑定参数并采用占位符、使用自动的HTML实体编码过滤用户输入、在架构中启用Security类库进行综合安全增强。