ThinkPHP路由变量怎么加正则约束防注入和遍历？-ThinkPHP-PHP中文网

thinkphp 路由变量加正则约束防注入和遍历，需在路由定义中使用`regex`参数指定匹配规则。例如在`route.php`中配置`route::rule('user/:id','user/read','get',['id'=>'\d+'])`，限制`id`仅接受数字，从而拦截非预期字符。

ThinkPHP路由变量怎么加正则约束防注入和遍历？

如何为单个路由变量添加基础正则约束

为单个路由变量添加基础正则约束，只需在路由规则数组中设置`regex`键值对。该约束直接作用于URL路径中的对应段，不匹配的请求将返回404或触发异常，有效防止非法字符注入。

ThinkPHP路由变量怎么加正则约束防注入和遍历？

use think\facade\Route;

// 定义路由：/api/user/{id}
Route::rule('api/user/:id', 'api/user/read', 'GET', [
    'id' => '\d+' // 仅允许数字
]);

// 测试输入: /api/user/123 -> 匹配成功
// 测试输入: /api/user/abc -> 匹配失败 (404)

上述代码中，`\d+`确保`id`参数只包含数字。若传入`/api/user/1;DROP TABLE users`，因含分号和字母，正则不匹配，请求被拒绝。这比在控制器中手动校验更安全，因为路由层已过滤。

如何为多个路由变量组合应用正则约束

为多个路由变量组合应用正则约束，可在同一路由定义中为每个变量独立设置`regex`。各变量约束相互独立，共同构成完整的路径匹配条件，防止通过组合不同非法字符绕过单一检查。

Skill Weave Chains — 技能链路由引擎

开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。

下载

ThinkPHP路由变量怎么加正则约束防注入和遍历？

use think\facade\Route;

// 定义路由：/api/order/{category}/{id}
Route::rule('api/order/:category/:id', 'api/order/detail', 'GET', [
    'category' => '[a-z]+', // 仅小写字母
    'id'       => '\d{1,10}' // 1-10位数字
]);

// 测试输入: /api/order/books/98765 -> 匹配成功
// 测试输入: /api/order/Books/123 -> 匹配失败 (category含大写)
// 测试输入: /api/order/books/12345678901 -> 匹配失败 (id超10位)

此配置中，`category`限制为小写字母序列，`id`限制为1至10位数字。若尝试`/api/order/<script>alert(1)</script>/1`，因`category`段含尖括号和字母混合，不匹配`[a-z]+`，请求被阻断。多变量约束协同工作，提升安全性。

当路由变量值为空字符串时正则约束如何处理

当路由变量值为空字符串时，正则约束默认不匹配，除非使用`*`或`?`等允许空的量词。ThinkPHP的路由引擎会将空段视为不满足正则表达式，从而拒绝请求，避免空值注入风险。

use think\facade\Route;

// 定义路由：/api/search/{keyword}
Route::rule('api/search/:keyword', 'api/search/index', 'GET', [
    'keyword' => '.+' // 至少一个字符
]);

// 测试输入: /api/search/ -> 匹配失败 (keyword为空)
// 测试输入: /api/search/test -> 匹配成功

在示例中，`.+`要求`keyword`至少有一个字符。若URL为`/api/search/`，`keyword`段为空，正则`.+`不匹配，请求被拒绝。这防止了通过空参数触发默认搜索或注入逻辑。若需允许空值，应改用`.*`并配合控制器内校验。