laravel路由中花括号参数默认必选，不可加问号（如{id?}）；可选需靠多条路由或默认值+where约束实现，且参数名、约束、控制器变量名须严格一致，参数值恒为字符串。
路由里怎么写必选参数
必选参数就是 URL 中必须出现、缺了就 404 的部分，比如 /user/{id} 里的 {id}。Laravel 默认所有花括号包住的变量都是必选的。
常见错误是以为加个问号就能变可选（比如 {id?}），其实不行——Laravel 路由不认这种写法，直接报错 Route pattern "/user/{id?}" cannot contain optional parameters。
- 正确写法：
Route::get('/user/{id}', [UserController::class, 'show']); - 对应访问 URL 必须带值，如
/user/123；/user/会 404 - 如果想让
{id}实际可空，得靠控制器里判空，而不是路由层“省略”
可选参数只能靠默认值 + 多条路由实现
Laravel 没有原生的“可选路径参数”语法，所谓“可选”，本质是定义两条路由：一条带参数，一条不带，且指向同一个处理逻辑。
典型场景是列表页带筛选：/posts 和 /posts/{category} 都进同一个方法。
- 写法一（推荐）：分开定义两条路由，用相同控制器方法
Route::get('/posts', [PostController::class, 'index']);Route::get('/posts/{category}', [PostController::class, 'index'])->where('category', '[a-z]+'); - 写法二：用默认参数 + where 约束避免冲突
Route::get('/posts/{category?}', [PostController::class, 'index'])->where('category', '[a-z]+')->defaults('category', null);
注意：这看似“可选”，但实际仍需在控制器里判断$category === null，且where必须加，否则/posts/会被当成匹配{category?}的空字符串，导致意外行为
参数约束（where）写错会导致路由完全不匹配
where 不是可选装饰，它是正则硬约束。一旦正则写得过严或没覆盖真实输入，参数就匹配失败，整条路由失效。
比如 ->where('id', '\d+') 看似合理，但如果前端传了 /user/abc，不会进控制器再抛异常，而是直接 404 —— 连中间件都不会走。
- 数字 ID 建议用
->where('id', '[0-9]+')（比\d更稳，避免 Unicode 数字干扰） - slug 类型用
->where('slug', '[a-z0-9\-]+')，别漏掉短横线 - 多个参数要分别约束：
->where(['id' => '[0-9]+', 'token' => '[a-f0-9]{32}']) - 不加
where时，参数默认接受任意非斜杠字符，容易被恶意路径绕过（如/user/..%2Fetc%2Fpasswd）
参数名和变量名必须严格一致，大小写敏感
路由定义里写的是 {userId}，控制器方法签名就必须是 public function show($userId)。Laravel 不做自动驼峰转下划线或大小写归一化。
常见翻车点：前端传 /api/v1/users/123，路由写成 {user_id}，控制器却用 $userId 接收——结果 $userId 是 null，而且毫无提示。
- 检查方式：在控制器里打日志
Log::debug('route params:', $request->route()->parameters()); - 命名建议全程统一用 kebab-case（
{user-id}）或 snake_case（{user_id}），并在控制器变量名中严格镜像 - PHP 8.0+ 可用属性提升写法，但变量名仍需对齐：
public function show(#[FromRoute] string $user_id)
最易忽略的是：路由参数默认不经过任何过滤或类型转换，{id} 拿到手永远是字符串，哪怕你约束了 [0-9]+。别指望它自动变成 int，数据库查询前记得 (int) $id 或用 filter_var($id, FILTER_VALIDATE_INT) —— 否则可能触发隐式类型转换漏洞或 Eloquent 错误。
