应区分场景选用request方法：表单/url用param()，指定来源用get()/post()等，json接口必须用input('')或rawinput()再json_decode()。

怎么从 Request 对象里安全取参数

ThinkPHP 的 Request 对象不是“拿来就用”，直接调 input() 或 param() 很容易拿到脏数据或空值。关键在区分场景：表单提交、URL 查询、JSON 请求体，它们的数据来源和解析方式完全不同。

实操建议：

• param() 用于合并后的业务参数（GET + POST + 路由变量），但会自动过滤空格、转换类型，不适合需要原始值的场景
• get() / post() / put() 等方法只读对应来源，不合并、不自动类型转换，更可控
• JSON 接口必须用 input('')（空字符串）或 rawInput() 读原始 body，再自己 json_decode()，否则 param() 拿不到数据
• 取数组参数时加方括号，比如 input('user.name') 或 input('tags/a*')（支持通配符匹配）

Request 对象什么时候会拿不到数据

常见现象是 param('id') 返回 null，但 URL 明明带了 ?id=123；或者 POST 表单提交后 post() 是空数组。根本原因不是代码写错，而是请求未被正确识别为对应类型。

排查要点：

• Content-Type 不匹配：POST 提交 JSON 但 header 写成 application/x-www-form-urlencoded，框架就不会解析 body
• 路由模式干扰：开启强制路由后，index.php?s=/user/info 这类 URL 的查询参数可能被路由规则吞掉，get() 取不到
• PHP 配置限制：max_input_vars 太小会导致超长表单字段被截断，post() 看似为空
• CLI 环境下 Request 默认无 GET/POST 数据，得手动 bind 或用 think\console\Request

input() 和 param() 的参数差异到底在哪

两者都支持点号路径取值，但默认行为和过滤逻辑差很多。不看文档直接混用，很容易漏掉 XSS 风险或类型错误。

关键区别：

• input('name') 默认返回原始字符串，不做 trim 或类型转换；加第二个参数如 input('age', 0, 'intval') 才触发过滤
• param('name') 默认自动 trim 字符串、把数字字符串转为 int/float（取决于上下文），且对空数组、空字符串统一转为 null
• input('data.', '', 'array') 可以批量取以 data. 开头的所有参数并组装成数组；param() 不支持这种前缀匹配
• 第三个参数（过滤方法）传 null 表示不做过滤，但 param() 没这个选项，它始终走内置过滤链

验证和获取要分开做，别用 param() 代替验证逻辑

很多人图省事，在控制器里写 $id = param('id'); if (!$id) {...}，这看似能防空，其实绕过了验证层。框架的验证机制（validate()）不只是判空，还管格式、长度、正则、数据库唯一性等。

推荐做法：

• 先用 input() 或 param() 获取原始数据，传给 validate() 实例校验
• 不要在 input() 第二个参数里塞默认值来“兜底”，比如 input('status', 'draft')，这会让非法输入悄悄变成合法值
• 敏感操作（如删除、支付）必须用 isPost() + token() 双重确认，不能只靠参数存在与否判断
• 路由变量优先用 param('id')，但若该变量需强类型（如必须是正整数），应显式 cast：(int)param('id')，别依赖自动转换

真正麻烦的是混合场景：比如一个接口既要处理 URL 参数，又要接收 JSON body，还要兼容表单回传。这时候 Request 的多源合并逻辑反而容易掩盖问题，不如明确拆开读取、各自验证。

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！