Laravel怎么处理模型属性批量赋值白名单_Laravelfillable严格控制【方法】-Laravel-PHP中文网

用 fillable，别碰 guarded。fillable 是白名单机制，仅允许显式列出的字段批量赋值，安全边界清晰；guarded 是黑名单机制，易因漏写字段导致未授权数据写入，Laravel 5.8 起已明确弃用。

laravel怎么处理模型属性批量赋值白名单_laravelfillable严格控制【方法】

fillable 和 guarded 到底该选哪个

直接说结论：用 fillable，别碰 guarded。Laravel 官方从 5.8 起就明确建议弃用 guarded（虽然没删），因为它的“黑名单”逻辑天然容易漏——只要新增一个字段没加进 guarded 数组，它就自动可批量赋值，等于裸奔。

而 fillable 是白名单，没列出来的字段一律被 Laravel 拦在 create()、update()、fill() 外面，安全边界清晰。

fillable 是显式授权，新增字段必须主动加进去才可用
guarded 是隐式放行，漏写一个字段就可能被恶意 POST 进来
如果模型字段多且常变，宁可花两秒补 fillable 数组，也别赌自己不会漏 guarded

怎么写 fillable 才不踩坑

常见错误是只写字段名，忽略数据库字段和模型访问器（accessor）/修改器（mutator）的差异。比如你定义了 getFullNameAttribute()，但 full_name 并不在数据库里——它不能放进 fillable，否则会报 MassAssignmentException 或静默失败。

真正能进 fillable 的，只有数据库真实存在的字段，以及你手动定义了 setXXXAttribute() 的字段（比如把 password 映射到 password_hash）。

检查迁移文件，确认字段是否真实存在（如 users 表有 email_verified_at，才写 'email_verified_at'）
避免把 id、created_at、updated_at 放进 fillable——除非你真要手动控制这些值（极少见）
如果用了 casts（如 'options' => 'array'），字段名仍按原始列名写，不用加类型后缀

动态 fillable 怎么安全放开个别字段

有些场景确实需要临时放开——比如后台管理员编辑时允许改 is_active，但普通用户接口不能碰。这时候别改模型的 $fillable 静态数组，那会破坏全局约束。

Laravel Cloud

Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。

下载

正确做法是用 forceFill() 或显式指定字段：

php
// 安全：只对特定字段强制填充，不影响 fillable 规则
$user->forceFill(['is_active' => true])->save();

// 更推荐：用 update() 显式传参，绕过 fillable 检查
$user->update(['is_active' => true]);

// 错误：临时修改 $fillable（线程不安全，且可能污染后续请求）
$user->fillable = array_merge($user->fillable, ['is_active']);

forceFill() 会跳过所有 fillable 检查，适合可信上下文（如 console 命令或 admin 控制器）
update() 只跳过 fillable，但仍受模型事件、cast、mutator 影响，语义更干净
永远不要在 request handler 里动态改 $fillable 属性——Laravel 模型实例不是单例，但静态属性修改会影响整个进程生命周期

测试 fillable 是否生效的最快方式

别等上线出问题。在 Tinker 或单元测试里，用非法字段触发异常是最直接的验证：

php
// 假设 User 的 fillable 是 ['name', 'email']
User::create(['name' => 'A', 'email' => 'a@b.c', 'admin_note' => 'xxx']);
// 报错：Illuminate\Database\Eloquent\MassAssignmentException: admin_note

如果没报错，说明要么 admin_note 被误加进了 fillable，要么模型用了 guarded = []（等价于全放行）。