最安全的是$request->input()，它支持默认值、嵌套取值和类型转换；request()->input()次之；禁用$_get/$_post。控制器中必须类型提示request参数，避免在非http上下文误用request()辅助函数。
直接说结论：用 $request->input() 最安全，request()->input() 次之，别碰 $_GET/$_POST —— Laravel 的 Request 对象已经帮你做了过滤、类型转换和 CSRF 防御，绕过去等于自拆护栏。
怎么取单个参数（带默认值和类型转换）
绝大多数场景下，你不是“拿值”，而是“拿一个可信的、带兜底的值”。$request->input() 就是干这个的：
- 支持默认值：
$request->input('page', 1)，没传page就自动用1 - 支持点号路径取嵌套数据：
$request->input('user.name')能安全取['user' => ['name' => 'foo']]，不会报错 - 支持类型强制转换：
$request->integer('limit')、$request->boolean('active')，比手动(int)更可靠（会处理空字符串、"false"等边界） - 注意：
$request->input('id')返回的是字符串，哪怕 URL 里是?id=123—— 这是设计使然，不是 bug
什么时候必须用 $request 对象，不能用辅助函数 request()
在控制器方法参数里直接类型提示 Request，是唯一能保证请求数据完整性和生命周期可控的方式：
- 如果你在 service 类、job 类或任意非控制器上下文里调用
request()->input()，可能拿到空值或上一个请求残留的数据（尤其在队列、测试或 Swoole 环境下） -
request()是全局辅助函数，本质是调用服务容器里的Illuminate\Http\Request实例，但它的绑定时机依赖当前请求生命周期 —— 一旦脱离 HTTP 上下文（比如 artisan 命令里），就会报Target [Illuminate\Http\Request] is not instantiable - 正确姿势：控制器里写
public function store(Request $request)，然后把$request显式传给其他类；不要在其他地方反向去“找” request
数组参数和文件上传怎么一起处理
前端传 form-data 带数组字段（如 tags[]）和文件（avatar）时，别用 all() 一股脑取 —— 它会把文件对象也塞进数组，后续调用 ->store() 会失败：
- 取普通参数用
$request->input('tags', [])，它自动过滤掉文件字段 - 取文件单独用
$request->file('avatar')或$request->hasFile('avatar') - 如果硬要用
all()，记得先except('avatar')，但更推荐分治：$data = $request->only(['title', 'content', 'tags']) - 注意：
$request->all()在表单有同名字段（如name和name[]）时行为不确定，Laravel 7+ 会覆盖，别依赖它
为什么 validate() 后再取 input 可能拿到修改过的值
$request->validate() 不只是校验，它会触发数据准备（比如 trim、convert null 等规则），并把处理后的值缓存进 request 实例：
- 执行
$request->validate(['email' => 'required|email'])后，$request->input('email')返回的是已 trim 过的邮箱，不是原始字符串 - 如果你在 validate 前后都取同一个字段，值可能不同（比如用户输了个
" foo@bar.com "） - 这不是 bug，是 Laravel 的数据标准化机制 —— 但容易被忽略，尤其在日志记录原始输入或做审计时
- 真要原始值？只能从
$request->getPayload()（底层未处理的原始数据）里捞，但不推荐，除非你清楚自己在绕过整个验证管道
最麻烦的其实是嵌套结构 + 数组 + 文件 + 自定义规则组合时的取值顺序——request 对象看着简单，但每个方法背后都有生命周期钩子。别图省事写 request('xxx')，老老实实把 Request 当参数注入，错不了。
