在thinkphp中通过模型beforeupdate事件拦截非法更新：绑定checkupdatesafety方法，用getorigin()和getdata()比对新旧值，硬校验状态流转、兜底软删除、过滤非法字段，且仅find()+save()触发该事件。
想在ThinkPHP中阻止非法字段更新或状态回退，又不想写一堆重复校验逻辑？直接用模型的beforeUpdate事件，在数据落库前最后一刻做拦截最稳妥。
定义beforeUpdate事件并绑定回调
在模型类中声明protected $event属性，显式绑定beforeUpdate事件到自定义方法：
【必须用数组键值对形式绑定，不能只写方法名】
protected $event = ['before_update' => 'checkUpdateSafety'];
接着在同一个模型里写对应的方法：
protected function checkUpdateSafety($model) { /* 校验逻辑写在这里 */ }
安全获取新旧值做比对
别用$model->toArray()或$model->values()——它们可能混入脏数据或格式不一致。
第一步：用$model->getOrigin()取数据库原始值（上次select时读出的、未被中间修改污染的状态）；
第二步：用$model->getData()取当前待写入的全部字段快照；
第三步：手动遍历比对键值差异，重点盯住status、amount、email等敏感字段。
JSON字段要特别处理：getOrigin()返回PHP数组，而数据库存的是字符串；diff前统一用json_encode()标准化再比较，否则空数组和空字符串永远不相等。
拦截非法状态回退
方法一：状态机硬校验
在checkUpdateSafety方法里写死流转规则：
protected $statusTransitions = ['pending' => ['paid', 'cancelled'], 'paid' => ['shipped', 'refunded']];
if (isset($model->status) && !in_array($model->status, $this->statusTransitions[$this->status] ?? [])) { throw new Exception('非法状态变更'); }
【注意：$this->status是当前数据库值，不是请求里的旧值】
方法二：软删除场景兜底
if ($model->delete_time && !is_null($model->delete_time) && isset($model->status)) { throw new Exception('该记录已被删除，不可更新状态'); }
过滤非法字段提交
ThinkPHP不自动过滤非法字段，需手动清理：
if (isset($model->email)) { $model->email = strtolower(trim($model->email)); }
if (isset($model->content)) { $model->content = htmlspecialchars($model->content); }
where()->update()不触发此事件，必须改用find()+save()路径才能进钩子。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
