数据清洗与游标处理必须分离：清洗需手动filter或validate实例调用以转义/过滤输入；游标cursor()仅实现低内存单向流式读取，不处理数据转换，且不支持关联查询、sqlite无效，不可用于需随机访问的场景。
ThinkPHP 里“数据清洗”和“游标处理”是两件完全不同的事，混在一起做只会内存爆掉或漏数据——清洗要的是可控、可验证的输入过滤，游标要的是低内存、不可回溯的单向流式读取。别指望 cursor() 帮你转义 XSS 或 trim 空格，它连字符串都懒得碰。
ThinkPHP 数据清洗必须手动加 filter，validate 不会自动干这事
很多人调了 validate() 还被 XSS 攻击，是因为校验和清洗是两码事。TP6 的验证器默认只校验，不改原始数据，filter 规则也不会自动生效。
- 错误写法：
$this->validate($data, MyValidate::class)—— 静态调用不触发filter - 正确写法：
(new MyValidate())->check($data)或validate()->rule(MyValidate::class)->check($data) -
input('post.content', '', 'htmlspecialchars')只作用于当前字段，嵌套字段如input('user.name')加filter会失效 - 批量处理建议自己封装：
array_map(fn($v) => is_string($v) ? htmlspecialchars(trim($v)) : $v, request()->param())
ThinkPHP 的 cursor() 只负责“不加载全量”，不负责“清洗数据”
cursor() 是个生成器（\Generator），它让 PDO 按需 fetch 行，避免把 10 万条记录全塞进 PHP 内存。但它返回的每一行仍是原始数据库值，没经过任何 filter、cast 或模型的 getAttr 处理。
- 只能用于简单查询：
foreach ($query->cursor() as $row) { }，一旦调toArray()或赋值给变量，立刻退化为全量加载 - 关联查询、
with()、join()下cursor()失效，框架会自动 fallback 到普通查询 - SQLite 不支持无缓冲查询，
cursor()在它上面等价于普通select() - PostgreSQL 和 MySQL（需
PDO::MYSQL_ATTR_USE_BUFFERED_QUERY => false）才可能真正走底层游标
游标 + 清洗不是叠加关系，而是分阶段的事
你想边读边清洗？可以，但得自己控制节奏。不能依赖模型自动 cast，也不能指望 cursor() 做中间转换。
- 清洗必须在
foreach循环体内做，比如：$cleaned = ['id' => (int)$row['id'], 'name' => htmlspecialchars($row['name'] ?? '')] - 别在循环里调模型的
create()或save()，那会重建实例、触发事件、拖慢速度 - 如果清洗逻辑复杂（比如要查字典表、调 API），建议先用
cursor()抽出 ID 列表，再批量查、批量处理，避免 N+1 - 事务中用
cursor()要格外小心：没消费完就 return，连接不释放，MySQL 可能因wait_timeout断连
真正容易被忽略的点是：游标查询的结果集不可重复读，而清洗往往需要上下文比对（比如前后行状态变化）。这时候 cursor() 不仅帮不上忙，反而会让逻辑错乱——它天生就不该出现在需要随机访问或强一致性的场景里。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
