必须用命令行生成验证器类并严格检查命名空间、继承和文件名，再配置多场景字段白名单，结合input过滤与验证器校验，显式调用scene()才能生效。
创建验证器类并配置多场景校验
你在写注册接口时发现邮箱、手机号、密码字段在不同操作中要验不同规则——注册全都要，登录只要邮箱和密码，修改资料时邮箱可空，但手动写验证器总报 Class not found 或场景不生效。第一步必须用命令行生成标准结构，否则命名空间、继承关系、文件路径任一出错都会导致验证器根本加载不了。
打开终端，进入项目根目录，执行：php think make:validate UserValidate
生成后立刻检查 app/validate/UserValidate.php 文件头三行是否严格为：
namespace app\validate;
use think\Validate;
class UserValidate extends Validate
漏掉任意一行或大小写错误（比如写成 app\validate\uservalidate）、文件名与类名不一致（如 UserValidate.php 里写 class userValidate），都会触发自动加载失败。
在 $scene 属性中显式声明三个场景字段白名单：
protected $scene = [
'register' => ['name', 'email', 'mobile', 'password'],
'login' => ['email', 'password'],
'edit' => ['name', 'email']
];
注意：漏写字段=不校验也不保证存在。比如 edit 场景没写 mobile，用户即使 POST 了 mobile 字段，它也不会被校验，后续代码若直接取 $data['mobile'] 就可能引发 Notice。
定义字段规则与安全过滤组合
ThinkPHP 8 的 input() 函数支持在获取参数时同步过滤，这是第一道防线。你不能只依赖验证器——验证器只管“合不合规则”，而 input 过滤决定“进来的数据干不干净”。
方法一：用内置过滤器强制类型转换
$page = input('page/d', 1); → 获取 page 参数，/d 表示整数类型转换，非法值自动转为 0；默认值设为 1。
方法二：链式过滤 HTML 并转义特殊字符
$content = input('content', '', 'htmlspecialchars,strip_tags'); → 先 strip_tags 清除所有标签，再 htmlspecialchars 转义剩余字符，双重防护防 XSS。
方法三：对手机号用强校验规则
$mobile = input('mobile/s'); → /s 表示字符串类型，但真正起作用的是验证器里的 'mobile' => 'mobile' 规则；TP8 的 mobile 验证器要求 11 位纯数字，传入 138****1234 或带空格的 138 1234 5678 会直接失败，不用自己写正则。
【关键点】不要在验证规则里用正则替代 mobile 内置规则——它做了号码段合法性校验，正则只能判长度和数字，无法识别虚拟号段或停机号段。
调用验证器并处理结果
验证器必须显式调用 scene() → check() 才能激活对应场景，只 new 一个验证器对象或只调 check() 不指定 scene，全部字段仍按默认规则校验。
第一步：实例化验证器
$validate = new \app\validate\UserValidate();
第二步：绑定场景并执行校验
if (!$validate->scene('register')->check($data)) {
return json(['code' => 0, 'msg' => $validate->getError()]);
}
第三步：校验通过后，$data 已是过滤+验证后的可信数据，可直接用于业务逻辑或数据库写入。
注意：$validate->getError() 返回的是中文提示，如 '手机号格式不正确'，无需额外翻译；若需返回字段名而非提示，用 $validate->getFailMsg()。
这一步操作起来很简单，直接把 $data 传进去就行，但漏掉 scene() 就等于没写场景配置——框架不会自动识别当前是注册还是登录请求。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
