laravel 9路由参数正则约束必须显式设置，否则非法请求如/user/abc会直达控制器引发异常；校验在路由匹配阶段完成，成功才注入参数，api路由应禁用where()改用form request验证并返回422。
在 Laravel 9 中，路由参数的正则约束必须显式设置，否则任何非法值（如 /user/abc、/post/1%20）都会绕过校验直达控制器，可能引发数据库异常、权限绕过或信息泄露。安全的关键在于——把过滤做在路由匹配阶段，而不是等进到控制器再判断。
局部约束：单条路由加 where()
适用于个别路由有特殊格式要求的场景，比如 slug 必须含短横线、category 只能是小写字母：
Route::get('/post/{category}/{slug}', [...])->where(['category' => '[a-z]+', 'slug' => '[a-z0-9\-]+']);- 每个参数独立写正则，不加锚点
^和$也没关系，Laravel 内部会自动全匹配 - 只对花括号里的动态参数生效，静态路径段（如
/api/v1）不能用where
全局约束：统一管理常用参数格式
在 app/Providers/RouteServiceProvider.php 的 boot() 方法中定义，一次设置，全站生效：
-
Route::pattern('id', '[0-9]+');→ 所有叫{id}的参数自动只接受数字 -
Route::pattern('slug', '[a-z0-9\-]+');→ 所有{slug}自动适配 URL 友好格式 - 全局规则可被局部
where()覆盖：某条路由写->where('id', '[a-f0-9]{8}')，就以这条为准
哪些参数必须加约束？
不是所有参数都要加，但以下几类强烈建议强制约束：
-
ID 类参数：用户 ID、文章 ID、订单号，一律用
[0-9]+或更严格的[1-9][0-9]* -
分类/标签名：如
{category}，用[a-zA-Z]+防止注入符号 -
URL 别名（slug）：用
[a-z0-9\-]+，禁掉空格、中文、下划线等易出错字符 -
状态标识：如
{status}，可限定为active|draft|archived
API 路由不推荐用 where() 做主校验
RESTful API 应优先使用 Form Request 验证，返回标准 422 Unprocessable Entity；where() 在 API 中仅作轻量兜底，避免 404 误判。原因：
-
where()匹配失败直接 404，对 API 来说语义不清（到底是资源不存在，还是参数格式错？） - Form Request 支持详细错误字段、本地化提示、复杂逻辑（如存在性校验、权限关联）
- 保持 Web 页面用
where快速拦截，API 用 Request 层统一处理，职责清晰
