中间件中需根据Content-Type区分读取$_POST或php://input，并用Validate::make()校验；失败时return $response->withStatus(400)->withJson()中断流程；按路由白名单或分组绑定中间件，验证规则应封装为独立验证器类。
中间件里怎么拿到表单数据并校验
ThinkPHP 的中间件默认收不到 input() 或 $request->post() 的完整表单数据，因为请求体在控制器层才被完整解析。直接在中间件里调 input('name') 可能返回空或不完整 —— 尤其是 JSON 请求或含文件上传时。
正确做法是手动读取原始输入流，并根据 Content-Type 解析：
- 如果是
application/x-www-form-urlencoded或multipart/form-data，用file_get_contents('php://input')拿不到字段（PHP 会自动解析到$_POST），此时应直接读$_POST和$_FILES； - 如果是
application/json，必须用file_get_contents('php://input')+json_decode()，且注意php://input只能读一次； - 验证逻辑建议封装成独立方法，避免中间件里堆砌规则；
- 别在中间件里调
$this->validate()（它依赖控制器上下文），改用Validate::make()静态方式。
如何让验证失败时中断请求并返回统一格式
中间件里不能直接 return 视图或 redirect，否则后续中间件和控制器还会执行。必须显式调用 $response->withStatus(400)->withJson(...) 并 return 它。
常见错误是只写 throw new ValidateException() —— 这会触发全局异常处理，但可能绕过你想要的 JSON 格式，尤其当项目开了调试模式时返回 HTML 错误页。
立即学习“PHP免费学习笔记（深入）”；
- 推荐用
return $response->withStatus(400)->withJson(['code' => 400, 'msg' => '参数错误', 'data' => []])； - 如果用了多语言，
lang('validate.required')要提前加载语言包，否则中间件里调用会报错； - 注意
withJson()默认设了Content-Type: application/json，不用手动 setHeader； - 别在验证失败后还继续调
next($request)，这是最常踩的坑。
哪些接口该进验证中间件、哪些不该
不是所有路由都适合加全局表单验证。比如登录接口要校验账号密码，但健康检查 /api/health 或静态资源路由（/public/*）完全不需要。
ThinkPHP 的中间件支持闭包条件判断，比单纯配置 app/middleware.php 更灵活：
- 用
Route::rule('login', ...)->middleware('form_validate')显式绑定更安全； - 若走全局中间件，务必在中间件构造函数或 handle 方法开头加路径白名单判断，例如
if (in_array($request->url(), ['/api/health', '/captcha'])) { return $next($request); }； - API 接口建议按模块分组（如
api/v1/user），再对 group 绑定中间件，避免漏配或误配； - WebSocket 或 CLI 命令路由也会经过 HTTP 中间件链，需额外判断
$request->isAjax()或$request->isGet()来规避。
验证规则怎么和控制器解耦又保持复用
把规则写死在中间件里等于把业务逻辑焊进管道，改一个字段就得动中间件。实际应该让规则可配置、可继承。
ThinkPHP 支持验证器类，但默认验证器依赖控制器实例。中间件里要用，得手动传参：
- 定义验证器类（如
app\validate\UserLoginValidate），继承think\Validate； - 中间件中通过
new UserLoginValidate()实例化，再调$validate->check($data)； - 规则里的
:require等内置规则可用，但自定义规则（如['check_sms_code' => 'checkSmsCode']）必须确保闭包或方法在中间件生命周期内可访问； - 别把
$validate->scene('edit')这类场景写在中间件里 —— 场景通常由控制器决定，中间件不知道当前是新增还是编辑。
最麻烦的是错误提示语言包加载时机和验证器中 use 的模型类初始化问题，这些地方一旦出错，不会报明确异常，只会静默跳过验证。
