thinkphp 6.x 字段修改器（如setpasswordattr）是密码加密和数据清洗的最直接方式，但需继承think\model、严格驼峰命名、字段名匹配，且绕过模型的操作不触发；哈希必须用password_hash()配password_default和cost=12，并判空与长度校验；清洗应逐字段在setxxxattr中处理，避免依赖全局filter；加密字段查询需预处理，登录用password_verify()，强检索建议双写明文索引字段。
ThinkPHP 6.x 的字段修改器（set{Field}Attr）是实现密码自动加密和数据清洗最直接、最可控的方式，但它不会“自动生效”，必须满足几个硬性前提，否则写入仍是明文或脏数据。
密码加密必须用 setPasswordAttr，且严格遵循命名与继承规则
密码哈希不能靠模型配置或中间件兜底，必须落在模型的修改器里：
- 模型类必须继承
think\Model（不是think\db\Model或其他基类） - 方法名必须是严格驼峰：
setPasswordAttr—— 写成setpasswordattr、SetPasswordAttr或_setPasswordAttr都不触发 - 数据库字段名要是
password；如果字段叫pwd，就得写setPwdAttr，否则逻辑根本不会执行 - 绕过模型的操作（如
$user->where(...)->update(['password' => '123'])）完全不走修改器，加密失效
安全哈希要调用 password_hash()，别拼接盐或用 md5
修改器里不要自己生成 salt、不要用 md5($pass.$salt)，PHP 原生函数已足够可靠：
- 使用
PASSWORD_DEFAULT：算法随 PHP 升级自动演进，无需手动切换 - 指定
cost => 12提升抗暴力能力，又不至于拖慢登录接口 - 务必判空：
if (empty($value)) return null;，避免password_hash(null)返回 false 导致入库失败 - 加长度校验：
if (strlen($value) 72)，防止超长输入或弱口令
数据清洗建议在 set{Field}Attr 中逐字段处理，而非依赖全局过滤
模型的 $filter 属性在 TP6.x 中默认不生效，save(['field'=>' x ']) 会直接跳过它。真正稳定的做法是：
- 对用户名、邮箱等字段，单独写
setUsernameAttr、setEmailAttr，内部调用trim()和正则清理零宽字符 - 全角空格、
\u200b等特殊空白需用preg_replace('/[\x{200b}-\x{200d}\x{2060}\x{feff}]/u', '', $value)先清除，再trim() - 若多个字段都要
trim，TP6.1+ 可用$this->filter(['username','email'], 'trim')批量注册，底层自动绑定到对应setXxxAttr
加密字段不能直接用于查询条件，得手动预处理
数据库存的是哈希值或密文，where('password', $input) 永远查不到结果：
- 登录验证时，必须先用
password_verify($input, $hash)，不能用===或hash_equals()比对哈希串 - 如果字段是可逆加密（如身份证号），查询前需用相同密钥和逻辑手动加密明文，再传给
where() - 强检索需求（如按手机号前3位搜索）应双写：明文索引字段 + 加密主字段，加数据库索引保证性能
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
