GET参数过长时PHP根本不会进Laravel，因Web服务器（Nginx/Apache）在请求到达Laravel前已拦截并返回414或400；可通过路由where约束单个参数长度、中间件检查$_SERVER['QUERY_STRING']总长，或改用POST传参。
GET参数过长时PHP根本不会进Laravel
GET请求的长度限制不在Laravel控制范围内，而是由Web服务器和PHP共同决定。超限时，请求压根不会到达Laravel的路由层——你连Request对象都拿不到，日志里也不会有Laravel报错，只会看到Nginx返回414 URI Too Long或Apache返回400 Bad Request。
常见错误现象：curl报HTTP/1.1 414 Request-URI Too Large；浏览器地址栏截断后请求失败；Postman提示Request URL too large。这些都不是你的代码问题，是底层拦截。
- Nginx默认
client_header_buffer_size为1KB，large_client_header_buffers为4KB，超长URL直接414 - Apache的
LimitRequestLine默认8190字节，超出即400 - PHP本身不限制GET长度，但Web服务器先拦了，PHP.ini里的
max_input_vars对GET参数个数有限制，不控长度
用路由约束提前过滤非法GET参数格式
虽然不能限制总长度，但可以针对单个参数做格式与长度约束，防止恶意构造超长字符串（比如?q=aaaaaaaa...10MB...）进入控制器逻辑。
在routes/web.php或routes/api.php中使用where配合正则或内置约束：
Route::get('/search', [SearchController::class, 'index'])
->where('q', '[a-zA-Z0-9\s\-\_]{1,255}');
说明：
-
[a-zA-Z0-9\s\-\_]限定字符集，排除、<code>;、%等易引发注入或解析异常的符号 -
{1,255}硬性限制该参数最多255字符——这是最常用且有效的防御点 - 若参数名是
id、slug等固定用途，优先用预设约束如->where('id', 'digits:6')或->where('slug', 'alpha_dash') - 注意：约束只校验URL解码后的原始值，%20会被转成空格再匹配
中间件里手动校验Query参数总长度
如果业务真需要按整个QUERY_STRING长度做拦截（比如防止CDN缓存爆炸或WAF规则触发），只能靠自定义中间件，在Request对象构建后、控制器执行前检查。
关键点：别调$request->query()或$request->all()，那会强制解析全部参数，浪费内存；直接读$_SERVER['QUERY_STRING']更轻量：
public function handle(Request $request, Closure $next)
{
$queryString = $_SERVER['QUERY_STRING'] ?? '';
if (strlen($queryString) > 2048) {
abort(414, 'URI too long');
}
return $next($request);
}
使用场景：
- 对接第三方系统，对方拼接超长回调URL
- 内部管理后台允许高级搜索，但需防用户手工构造万字符级查询串
- 某些API网关未严格限制URI长度，需在应用层兜底
注意：$_SERVER['QUERY_STRING']不含?，也不含URL编码开销——它就是原始字符串，长度判断最准。但别在CLI或测试环境依赖它，部分SAPI下该值可能为空。
为什么FormRequest的max规则对GET参数无效
max:255这类验证规则在FormRequest里只作用于已解析后的字段值，而GET参数本身没有“最大长度”概念——它是URL的一部分，不是表单字段。更重要的是，FormRequest的authorize()和rules()方法在路由匹配成功后才执行，此时恶意长参数早已进入内存，拦截时机太晚。
所以：
- 不要写
'q' => 'required|max:255'来防GET超长——它能拦住内容过长，但拦不住?q=xxx&other=yyy&...&zzz=...这种参数堆砌 - 真正要拦总长度，必须在路由匹配前（用
where）或刚进Laravel时（用中间件读$_SERVER） - 如果参数多且复杂，考虑改用POST+body传参，把长度控制交给
post_max_size和中间件Content-Length校验
最易被忽略的一点：开发时本地用php artisan serve测试，它底层是PHP内置服务器，对URI长度限制极松（甚至无限制），上线前务必在真实Nginx/Apache环境验证414行为。
