最安全的方式是控制器中类型提示request $request，再调用$request->input()取值；它自动合并get/post/json数据，支持默认值、点号嵌套取值和类型转换（如integer()、boolean()），且不混入文件字段。
刚上手 Laravel 时，最常遇到的问题之一就是：表单提交后，怎么安全、清晰地拿到用户填的数据？别急着写 $_POST 或手动解析 JSON——Laravel 已经为你封装好了统一、可靠又带防护的入口：Request 对象。
控制器里正确注入 Request 对象
在控制器方法参数中直接类型提示 Illuminate\Http\Request，这是最规范、最安全的起点。Laravel 会自动把当前 HTTP 请求实例注入进来，全程受生命周期管理，不会拿错数据或残留上一个请求的内容。
- ✅ 正确写法：
public function store(Request $request) - ❌ 避免写法：
request()->input('name')（尤其不在控制器里）或直接读$_POST - 注意：
$request是对象，不是数组，所有取值都得调它的方法
用 input() 安全取值，不踩空、不报错
$request->input() 是日常取参的主力方法，它自动合并 GET、POST 和 JSON 数据，还能兜底、嵌套、转类型，比手写三元判断干净得多。
- 取值带默认：
$request->input('page', 1)—— 没传就用 1 - 取嵌套字段：
$request->input('user.email')—— 支持点号语法，不怕键缺失 - 强制转类型：
$request->integer('limit')或$request->boolean('active')，能正确处理"0"、""、"false"等边界情况 - 提醒：
$request->input('id')返回的是字符串，哪怕 URL 是?id=123—— 这是设计，不是 bug
区分来源：按需选 query()、post() 或 json()
虽然 input() 很方便，但有些场景必须明确数据来源，避免混淆：
-
$request->query('page')：只从 URL 查询参数（GET）取，比如分页、搜索关键词 -
$request->post('token')：只从表单 POST 数据取，忽略 query 和 JSON（适合传统 form 提交） -
$request->json()->all()：仅当请求头Content-Type: application/json且内容是合法 JSON 时才有效；否则返回空 - 调试小技巧：先用
$request->isJson()判断是否为 JSON 请求，再决定走哪条路径
处理数组和文件，别混在一起
前端传多选框（如 hobbies[]）或上传文件（如 avatar）时，切忌一股脑用 $request->all()：
-
$request->input('hobbies', [])：安全取数组，自动过滤掉文件字段 -
$request->file('avatar')或$request->hasFile('avatar')：单独处理上传文件 - 如果非要用
all()，记得先排除文件：$request->except('avatar')，但更推荐“分治”：$request->only(['title', 'content', 'hobbies']) - 注意：同名字段如
name和name[]同时存在时，all()行为不确定，Laravel 7+ 默认覆盖，不建议依赖
