ThinkPHP的validate()方法不支持管道操作，需手动清洗数据后再验证；input()函数支持filter管道但验证器不支持，推荐在控制器中显式清洗字段再传入验证器。
validate() 方法里不能直接写管道操作
ThinkPHP 的 validate() 方法本身不支持链式管道（如 filter、trim、htmlspecialchars）直接嵌套执行。它只负责调用验证规则，不接管数据预处理。如果你在验证规则里写 ['require|trim|email'] 这类写法，会报错或静默失效——因为 ThinkPHP 6+ 的验证器默认不解析这种管道语法。
- 真正起作用的是
rule+message+scene的组合，预处理得靠你手动做 - 常见错误现象：表单提交后
email字段含前后空格仍通过验证，或 XSS 字符没被过滤 - 正确做法是先用
input()或param()取值，再手动调用trim()、htmlspecialchars()等函数清洗，最后传给验证器
用 filter 参数做字段级预处理（仅限 input() 场景）
如果你走的是 input('post.name', '', 'htmlspecialchars|trim') 这条路，那管道就生效了——这是 ThinkPHP 对 input() 函数的特殊支持，底层用 think\helper\Str::filter() 解析字符串管道。
- 支持的过滤函数必须是 PHP 内置或已声明的函数名，比如
trim、intval、htmlspecialchars，但不支持自定义函数名（除非提前用function_exists检查过） -
input('post.content', '', 'htmlspecialchars')和input('post.content', '', 'htmlspecialchars,ENT_QUOTES,UTF-8')效果不同：后者会把额外参数传进去，前者只用默认参数 - 注意兼容性：
filter参数在 ThinkPHP 5.1+ 支持，在 6.x 中依然可用，但官方文档已弱化此用法，容易被新同学忽略
验证器里用 scene + filter 配合 data 手动清洗
最可控的方式，是把清洗逻辑显式写在控制器里，而不是依赖魔法字符串。尤其当你需要对不同场景（如注册 vs 修改密码）做不同清洗时，硬编码管道反而难维护。
- 先取原始数据：
$data = $this->request->post(); - 再逐字段清洗：
$data['email'] = trim($data['email']);、$data['content'] = htmlspecialchars($data['content'], ENT_QUOTES, 'UTF-8'); - 最后交给验证器：
(new UserValidate())->scene('edit')->check($data) - 这样做的好处是逻辑清晰、调试方便；坏处是多写几行，但比猜
input()的管道行为靠谱得多
别在验证规则里混用 regex 和管道清洗
有人会写 ['email' => 'require|regex:/^\S+@\S+\.\S+$/']，以为正则能防空格——其实不能。正则匹配前数据没被 trim，空格还在那儿，导致 " user@example.com " 这种输入可能意外通过验证。
立即学习“PHP免费学习笔记（深入）”；
-
regex规则只做匹配，不做修改；它看到的是原始字符串 - 如果真要用正则兼顾清洗，得自己封装验证方法，在方法体内先
trim()再匹配 - 性能影响很小，但可读性下降；不如把清洗提到验证前，职责更单一
input() 有、验证器没有、模型 save() 也不认——这点最容易被当成通用能力去套用，结果卡在某个环节怎么都洗不干净。 
