ThinkPHP请求对象怎么排除指定参数-ThinkPHP-PHP中文网

request()->except()用于排除指定键并返回新数组，不修改原请求；支持字符串、数组、通配符（如'user.*'）；需在验证前调用以剔除敏感字段，且对json请求生效前提是已自动解析。

thinkphp请求对象怎么排除指定参数

直接调用 except() 就能排除指定参数，它返回一个不含指定键的新数组，原请求数据不受影响。注意这不是“过滤后继续用原 request 对象”，而是拿结果做后续处理。

常见错误是以为调用后 request()->param() 会自动变，其实不会——except() 是纯函数式操作，只返回副本。

request()->except('token') 排除单个参数
request()->except(['token', 'sign']) 排除多个参数（支持字符串数组）
request()->except('user.*') 支持通配符，排除所有以 user. 开头的键（如 user.name、user.email）
传空数组或不存在的键，会原样返回全部参数，不会报错

不能在 validate() 里直接改 $this->request，验证器默认读的是原始 param()。稳妥做法是先取干净数据，再喂给验证器：

$data = $this->request->except(['token', 'timestamp']);
$result = $this->validate($data, 'rule.name');

如果你用的是场景验证（比如 scene('edit')），也要确保 except() 在 validate() 调用之前完成，否则剔除无效。

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

别在验证规则里写 token => 'require|alphaNum' 然后指望 except() 后验证不报错——验证器仍会查原始数据
如果控制器方法接收了 Request $request 注入，直接对它调用 except() 即可，无需额外 input() 或 param()
except() 对 get()、post()、param() 都适用，但必须明确调用来源，例如 $request->post()->except(...) 才只剔除 POST 数据

only() 是白名单，except() 是黑名单，表面互为反向，但实际行为不对称：当指定键不存在时，only() 返回空数组，except() 返回全量数据。

这容易导致误判——比如你写 $data = $request->except('page')，但前端根本没传 page，结果 $data 还是全部参数，可能意外带入不该存库的字段。

若目标是“只留安全字段”，优先用 only(['id', 'title', 'content'])，更可控
except() 适合临时剔除干扰项（如签名、时间戳、调试参数），不适合做数据准入控制
两者都不处理嵌套数组的深层排除，例如 except('user.profile') 对 ['user' => ['profile' => [...]]] 无效，只能靠手动递归或改用 filter_var_array 等方式

生效，但要注意前提：JSON 请求必须已由框架自动解析（即 Content-Type 是 application/json，且未禁用 json_input 配置）。此时 request()->param() 已合并 JSON body，except() 对其操作完全正常。

容易踩的坑是前端发 JSON 但没设 header，或后端配置了 'json_input' => false，这时 param() 拿不到 JSON 字段，except() 自然也剔不掉。

调试时可用 var_dump($request->param()) 确认 JSON 是否已解析成功
若需区分来源（比如只剔除 query 中的 debug，保留 body 里的同名字段），得分别调用 $request->except(...)->get() 和 $request->except(...)->post()
TP6.2 起支持 except() 的第三个参数 $type（如 'get'、'post'），但需显式指定，不传则默认作用于 param() 合并结果