能，但不推荐在生产环境无条件依赖；它按GET、POST、COOKIE顺序合并且受php.ini中request_order控制，易导致隐式覆盖或顺序陷阱，应显式分离处理并校验。
PHP 中 $_REQUEST 能不能直接用？
能，但不推荐在生产环境无条件依赖。它默认按 GET、POST、COOKIE 顺序合并参数，一旦同名参数同时出现在 URL 和表单里，$_REQUEST['id'] 取到的是 GET 的值（因为优先级更高），而你可能实际想用 POST 提交的。
更关键的是：如果启用了 request_order 配置（如设为 "GP"），$_REQUEST 就只包含 GET 和 POST，但顺序和是否启用仍受 php.ini 控制——线上环境配置未必和本地一致。
安全又明确的做法：分开读取再合并
显式调用 $_GET 和 $_POST，按需合并，避免隐式覆盖或顺序陷阱：
- 用
array_merge($_GET, $_POST)是常见做法，但注意：若键名重复，$_POST的值会覆盖$_GET（因为后数组优先） - 若想保留
GET优先（比如分页参数?page=2不被 POST 冲掉），改用array_merge($_POST, $_GET) - 需要去重或过滤时，建议先用
filter_input_array()分别处理，再合并，例如：$get = filter_input_array(INPUT_GET, ['id' => FILTER_SANITIZE_NUMBER_INT]);<br>$post = filter_input_array(INPUT_POST, ['name' => FILTER_SANITIZE_STRING]);<br>$params = array_merge($get ?? [], $post ?? []);
遇到 JSON 请求体怎么办？
当前端用 fetch 或 axios 发送 Content-Type: application/json 时，$_POST 为空——PHP 不自动解析 JSON body。
立即学习“PHP免费学习笔记（深入）”；
- 必须手动读取原始输入：
file_get_contents('php://input') - 再用
json_decode()解析，注意检查返回值是否为null（可能是格式错误或空内容） - 典型写法：
$raw = file_get_contents('php://input');<br>$json = json_decode($raw, true);<br>if (json_last_error() === JSON_ERROR_NONE) {<br> $params = array_merge($_GET, $json ?? []);<br>} - 不要试图把
php://input和$_POST混用：一旦读过php://input，$_POST就失效（PHP 7.0+ 已修复此限制，但旧环境仍需注意）
为什么不用 import_request_variables()？
这个函数早在 PHP 5.4.0 就被移除了，现在用就是报错 Fatal error: Uncaught Error: Call to undefined function import_request_variables()。它当年的设计本就危险——把所有请求参数无差别导入全局变量，极易引发变量污染和覆盖漏洞。
真正该关注的是：你的接口是否明确区分了「查询参数」（GET）、「提交数据」（POST/JSON）、「认证凭证」（Header/Cookie），以及是否对每类输入做了独立校验和类型转换。混合读取本身不是问题，失控地混合才是。
