ThinkPHP如何对API接口进行请求参数验证_请求头与数据校验-ThinkPHP-PHP中文网

thinkphp 6 的 validate 方法默认不校验请求头和 json 数据，需手动调用 $request->header() 提取头信息、$request->json(true) 强制解析并合并 json 到 param，否则验证失效。

thinkphp如何对api接口进行请求参数验证_请求头与数据校验

ThinkPHP 6 的 `validate` 方法不校验请求头，得手动取

ThinkPHP 的内置验证器（Validate 类）默认只处理 $request->param()，也就是 URL 查询参数、POST 表单、JSON 请求体里的字段。它完全不碰 $request->header() —— 所以像 Authorization、X-App-Version 这类关键请求头，必须自己提取后单独验证。

常见错误是把 header 字段直接写进验证规则里，比如：

['header.token' => 'require|alphaNum']

这不会生效，Validate 根本不解析 header. 前缀。正确做法是先取值再传入验证器：

$token = $this->request->header('Authorization', '');
把 $token 和 $this->request->param() 合并成一个数组再验证
或在验证器中用 scene + 自定义 data 控制输入源

JSON 接口必须显式调用 `$request->json(true)` 才能被 `validate` 识别

ThinkPHP 默认对 JSON 请求体的解析是惰性的：只有调用 $request->json() 或 $request->param() 时才触发解析。但 validate 内部调用的是 param()，而 param() 默认不合并 JSON 数据 —— 除非你提前执行过 $request->json(true)（true 表示“强制解析并合并到 param”）。

否则会出现：前端明明发了 {"user_id":123}，$this->validate($this->request->param(), $rule) 却返回空数组，验证始终通过。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

务必在控制器方法开头加 $this->request->json(true);
如果用了中间件统一处理，也要确保中间件里调用了该方法
验证失败时，$this->request->param() 返回的是空数组而非原始 JSON 字符串，这点容易误判调试结果

自定义验证规则里访问请求头要用 `$this->request`，不能依赖 `$data`

写自定义验证规则（比如验证 token 是否有效）时，规则函数接收的 $data 是当前待验证字段的值（如 $data['token']），它不包含请求头信息。想校验 token 是否匹配 header 中的签名，必须从外部注入 Request 实例。

推荐方式是在验证器构造时传入 request：

protected $request;
public function __construct(Request $request)
{
    $this->request = $request;
}
// 在 rule 中使用
'token' => 'checkToken'
// 对应的 checkToken 方法里：
public function checkToken($value, $rule, $data): bool
{
    $headerSig = $this->request->header('X-Signature', '');
    return hash_equals($headerSig, hash_hmac('sha256', $value, config('app.api_secret')));
}

不要试图在 rule 字符串里写 checkToken:header.X-Signature —— ThinkPHP 不支持这种语法
避免在验证器里直接 new Request()，会导致容器未初始化、无法读取 header
若用静态调用 Validate::make()，需手动绑定 Request 到验证器实例

批量验证失败时，`$validate->getError()` 只返回第一个错误，要改用 `$validate->getErrors()`

API 接口通常需要返回全部校验失败项（比如同时 missing user_id 和 timestamp），但默认 getError() 只返回首个错误消息，掩盖其他问题。

必须显式调用 getErrors() 获取完整数组：

$validate = Validate::make($rules);
if (!$validate->check($data)) {
    return json(['code' => 400, 'msg' => '参数错误', 'errors' => $validate->getErrors()]);
}