直接访问$_POST['xxx']报Undefined index错误，因PHP开启E_NOTICE时未定义键会警告，ThinkPHP不自动兜底；应使用input()安全获取、validate()校验、input('param.')处理JSON。
为什么 $_POST['xxx'] 直接取值会报 Undefined index
PHP 默认开启 E_NOTICE 时，访问未定义的数组键就会触发这个警告。ThinkPHP 没有帮你兜底——它不会自动过滤或默认返回空值，而是原样透传超全局变量。你写的 $_POST['user_id']，如果前端没传、传了 null、或者字段名拼错，PHP 就直接报错。
- 常见错误现象：
Undefined index: user_id in /app/controller/User.php on line 23 - 真实使用场景：表单提交漏字段、AJAX 请求 header 或 data 格式不对、Postman 测试时忘填 key
- 不是 ThinkPHP 的 bug，是 PHP 自身行为；但 TP 提供了更安全的获取方式，别硬扛
$_POST
用 input() 替代直接读 $_POST 和 $_GET
input() 是 ThinkPHP 内置的数据获取函数，它做了三件事：检测键是否存在、类型转换、默认值 fallback。比手动写 isset($_POST['x']) ? $_POST['x'] : '' 干净得多。
- 基础用法：
input('post.user_id')取 POST 中的user_id；input('get.id')取 GET 参数 - 带默认值和类型转换：
input('post.status/d', 0)表示取status并转为 int，没传时用 0 - 注意斜杠后字母：
/s（字符串）、/d（整型）、/a（数组）、/b（布尔），不加则不转换 - 性能影响几乎为零，底层就是 isset + 类型 cast，比自己写 if 判断还快一点
批量获取且需要校验时，优先用 validate() + only()
当接口要接收多个字段、且必须满足规则（比如手机号格式、密码长度），光靠 input() 不够——它不校验逻辑合法性，只管“有没有”和“转不转”。这时候得上验证器。
- 先定义验证规则（如
app/validate/User.php），再在控制器里：$data = $this->request->only(['username','mobile','password'], 'post')->validate(['username'=>'require|alphaNum','mobile'=>'require|mobile']); -
only()能防止前端多传字段（比如偷偷塞个is_admin=1），配合validate()才算真正闭环 - 错误时自动抛出
ValidateException，TP 会转成标准 JSON 错误响应，不用手写 if 判断 - 别跳过
only()直接input()全量取，那是给自己埋越权漏洞
JSON 请求体里取不到数据？检查 Content-Type 和 input('param.')
前端发的是 application/json，但很多人还傻傻用 input('post.xxx')，结果永远是 null。因为 JSON 不进 $_POST，而进原始输入流（php://input）。
立即学习“PHP免费学习笔记（深入）”；
- 正确做法：
input('param.name')——param是 TP 对所有请求方式（GET/POST/PUT/JSON）统一抽象后的入口 - 前提：确保 Nginx/Apache 没拦截 JSON 请求体；TP 默认支持，但某些老版本需确认
Request类是否启用json_input - 调试技巧：
dump(input('param.'))看整个 JSON 解析结果，比猜字段名靠谱 - 容易踩的坑：前端发的是字符串
"{...}"但没设Content-Type: application/json，TP 就不会自动解析
最常被忽略的其实是请求方式和参数来源的对应关系——post 不等于“所有 POST 数据”，param 才是真正的统一入口。还有人把验证器写在模型里却忘了在控制器调用，结果 input() 拿到脏数据就直接入库了。
