自定义 Rule 类必须在构造函数中接收参数，不可依赖运行时注入或 $parameters 数组；闭包规则通过 $parameters 接收字符串数组，需手动类型转换；Rule 类中服务应在 passes() 中解析，失败消息需手动拼接参数并防 XSS。
自定义 Rule 类如何接收并使用参数
Rule 类构造函数是唯一可靠入口，参数必须在实例化时传入，不能靠运行时动态注入。Laravel 的 validate() 或 Validator::make() 不会自动解析规则字符串里的括号内容（比如 'required|my_rule:foo,bar'），那只是语法糖，背后不会调用构造函数。
- 正确做法：在控制器或表单请求中显式 new 实例，把参数直接传进构造函数，例如
new MyCustomRule($someId, $type) - 错误做法：试图在
passes()里从$attribute或$value反推配置，或依赖$parameters数组（那是为闭包规则或内置规则预留的，不适用于 Rule 类） - Rule 类必须实现
Illuminate\Contracts\Validation\Rule接口，且构造函数参数会被完整保留，无自动类型转换或过滤
闭包规则怎么传参更安全
闭包规则天然支持参数传递，Validator::extend() 注册后，验证器会把冒号后的值作为数组塞进闭包第三个参数 $parameters。但要注意键名丢失、类型全是字符串、空值处理这三点。
-
['required', 'my_closure_rule:123,active']→ 闭包收到的$parameters是['123', 'active']，不是整数或布尔值 - 如果参数含逗号或冒号（比如邮箱地址），必须改用 Rule 类，闭包规则无法安全解析
- 注册时别漏掉
Validator::extend('my_closure_rule', function ($attribute, $value, $parameters) { ... })，否则报错Invalid rule
Rule 类里访问容器服务要小心时机
Rule 实例化发生在验证开始前，此时 Laravel 容器已可用，但不能在构造函数里直接 resolve 依赖——因为 Rule 类本身不是容器绑定对象，app(MyCustomRule::class) 不会触发自动注入。
- 想用
UserService？在passes()里用app(UserService::class)或resolve(UserService::class)，别在构造函数里写 - 若需复用某个服务实例，可传入 service 实例本身（如
new MyCustomRule(app(UserService::class))），但注意生命周期和状态污染风险 - 避免在
passes()中做重操作（如查库多次），验证规则应轻量；复杂逻辑建议提前计算好参数再传入
验证失败消息怎么带参数动态渲染
失败消息不支持 Blade 语法或自动变量插值，message() 方法返回的字符串里所有占位符都得手动拼接，Laravel 不会帮你替换 :attribute 以外的任何东西。
- 想显示 “该邮箱已被用户 ID 123 占用”，就得在
message()里写"该邮箱已被用户 ID {$this->userId} 占用" - 不要依赖
trans('validation.my_rule', ['id' => $this->userId])并指望它自动生效——翻译文件里得明确定义my_rule键，且不带运行时参数解析逻辑 - 如果参数可能为空或敏感（如密码字段名），记得在
message()里加htmlspecialchars()或e()防 XSS，尤其当参数来自请求输入时
