闭包规则必须显式声明四个参数才能获取完整数据；需用use传入Request实例；不可放验证器$rule属性中以防序列化失败；字段对比要防御性判断并用hash_equals。
验证器里闭包规则拿不到当前请求参数？
默认情况下，Validate::rule() 或验证器类中定义的闭包规则，$value 只是字段值，不是整个请求数据。想访问其他字段、request 实例或原始输入，得主动“带进来”。
ThinkPHP 验证器的闭包规则签名是 function($value, $rule, $data, $field)，其中 $data 就是当前验证的完整数据（即 input() 或手动传入的数组），但很多人只写两参数，导致 $data 无法自动注入。
- 必须显式声明四个参数，缺一不可；漏掉
$data就拿不到其他字段 -
$data是验证时传入的原始数据，不是Request对象，也不含未提交字段 - 如果用
$this->validate($data, $rule)方式调用，$data就是你传的那个数组；如果是控制器里用$this->validate(input(), ...)，那它就是input()返回结果
闭包规则中怎么安全访问 request 实例？
验证器类本身不持有 Request 对象，闭包也无法直接 use $this。真要读 header、cookie、路由变量或原始请求体，得提前把 Request 实例传进去。
推荐做法：在定义规则时，用 use 把 Request 实例带入闭包，而不是在闭包里试图 think\Request::instance() —— 这个静态方法在 CLI 或某些生命周期下可能返回 null 或旧实例。
立即学习“PHP免费学习笔记（深入）”；
- 控制器中定义规则时：
['check_token' => function($value, $rule, $data, $field) use ($request) { return $request->header('X-Token') === $value; }] - 验证器类中不建议直接 use $this，可改用构造函数注入或静态属性缓存
Request，但更稳妥的是把必要信息（如 token、user_id）提前从Request提取后作为参数传入验证 - 注意：闭包规则不能依赖容器自动注入，
use是唯一可控的传参方式
自定义规则里需要对比两个字段（比如密码和确认密码）？
这是最常见也最容易出错的场景。错误写法是只校验 confirm_password 字段的闭包，却忘了检查 password 是否存在、是否为空，或者没处理类型差异（比如一个是字符串，一个是 null）。
正确做法是在 confirm_password 的闭包里，通过 $data['password'] 拿值，并做防御性判断。
- 先判
isset($data['password'])，再比值，避免 Notice - 用
hash_equals()比较密码类敏感字段，防止时序攻击（虽然 TP 默认没启用，但习惯要养） - 别在
password字段自己加规则去“反向查 confirm_password”，逻辑应单向：由被验证字段驱动，查依赖字段 - 示例：
['confirm_password' => function($value, $rule, $data, $field) { return isset($data['password']) && hash_equals((string)$data['password'], (string)$value); }]
为什么 validate() 报错说 “Closure cannot be serialized”？
当你把带 use 的闭包直接写进验证器类的 $rule 属性（public $rule = [...]），TP 在序列化验证器做缓存或调试时会失败 —— PHP 闭包默认不可序列化。
这不是 bug，是设计限制。ThinkPHP 的验证器类属性必须可序列化，所以所有闭包规则都不能放在类属性里定义。
- 必须在运行时动态构建规则数组，比如在控制器的
index()方法里 new 验证器后，用$v->rule([...])设置 - 或在验证器类的
scene方法里按需返回带闭包的规则，但不能放$rule属性中 - 如果坚持要复用，把闭包逻辑抽成独立函数或方法，然后在规则里写
'confirm_password' => 'checkConfirmPassword'，再在验证器里定义protected function checkConfirmPassword($value, $rule, $data, $field) { ... }
$rule 属性还测不出问题——等上生产缓存一开，立马崩。 
