ThinkPHP中间件怎么读取请求参数-ThinkPHP-PHP中文网

中间件中不能直接用 input() 读参数，因缓存未生成或已失效；应改用 get()/post()、手动解析 php://input 或 param('key', null, null, false) 强制重读。

thinkphp中间件怎么读取请求参数

因为 input() 依赖框架对请求数据的预解析和缓存，而中间件执行时（尤其是前置中间件）Request 实例的 param、post、get 等缓存可能还没生成，或已被后续逻辑覆盖。此时调用 input('name') 很可能返回空、旧值，甚至误取 GET 中同名参数。

正确做法是绕过缓存，直接从原始来源读：

GET 参数：用 $request->get('name') 或 $request->server('QUERY_STRING') 手动 parse
POST 表单：用 $request->post('name') —— 它不走 param() 缓存，而是实时解析 php://input 或 $_POST
JSON/PUT/PATCH：必须手动读 php://input，再 json_decode(file_get_contents('php://input'), true)，然后用 $request->put($data) 注入（否则 param() 永远拿不到）
所有类型统一兜底：用 $request->param('name', null, null, false) 第四个参数设为 false 可跳过缓存强制重读（TP6.1+ 支持，TP6.0 需升级）

这两个方法看似简单，但底层逻辑不同：

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

$request->get('name') 直接读 $_GET，不做过滤、不处理嵌套数组、不支持类型转换
$request->post('name') 会先判断 Content-Type：如果是 application/x-www-form-urlencoded 就读 $_POST；如果是 application/json 则返回空（除非你提前用 put() 注入）
两者都不自动 trim，也不做空字符串归一化；若需清洗，得自己调 trim() 或用 filter_var()
传空字符串作键（如 $request->post('')）会返回整个 $_POST 数组，但不包含文件字段 —— 文件必须用 $request->file()

这些错误在日志里很难定位，但会导致参数丢失、类型错乱或安全漏洞：

在 ParseUrl 中间件之前注册自定义中间件：此时 $request->routeInfo() 为空，$request->module()、$request->controller() 全是 null，连带影响参数上下文判断
混用 param() 和 post()/get()：比如先调 $request->param('id') 再调 $request->post('id')，后者可能因缓存已存在而返回旧值
没处理 _method 伪装：当客户端用 POST 提交 _method=DELETE 时，$request->method() 返回 DELETE，但原始参数仍在 $_POST 里，$request->delete() 不会自动帮你读 —— 必须显式调 $request->post() 或手动解析 php://input

直接修改超全局变量不仅无效（ThinkPHP 后续仍会重新解析），还可能污染 CLI 或并发请求。真正可控的方式是：

对白名单字段做精准 trim：比如只对 ['username', 'email', 'title'] 调 trim()，避免把数字型 ID 或 base64 字符串意外截断
用 $request->merge($cleanedData)（TP8）或 $request->setPost($cleanedData)（TP6）刷新内部缓存，确保控制器里 param() 和 post() 返回一致结果
注意 Content-Type 分支：表单提交走 $_POST，JSON 提交必须先 json_decode(file_get_contents('php://input'))，二者清洗逻辑不能共用一套代码
空值归一化要谨慎：把 ''、'null'、null 全转成 null 很方便，但前端传 name=（空字符串）和不传 name 语义不同，不能一刀切