ThinkPHP安全接收POST数据须指定字段类型（如/s、/d）、禁用$_POST和input('post.')、JSON请求改用param()、CSRF需正确嵌入__token__字段并配置token_on_header等参数。
ThinkPHP 怎么安全地接收 POST 表单数据
直接用 $this->request->post() 拿数据，但不校验、不过滤、不指定类型，等于把表单入口裸奔暴露给攻击者。ThinkPHP 的 post() 方法默认不做任何过滤，传什么它就返什么，包括恶意脚本、SQL 片段、超长字符串。
实操建议：
- 永远指定字段和类型，比如
$this->request->post('username/s')中的/s表示字符串自动 trim + htmlspecialchars，/d转整型，/a强制为数组 - 批量接收时用规则数组，避免漏校验：
$this->request->post(['username'=>'s','age'=>'d','tags'=>'a']) - 不要用
input('post.')或$_POST—— 它们绕过框架的过滤机制，且无法统一处理空格/编码问题 - 如果前端用了 JSON 提交（
Content-Type: application/json），post()默认收不到，得改用$this->request->param()或手动读php://input
为什么 $this->request->post() 有时返回空数组
不是代码写错了，大概率是请求没发对。ThinkPHP 的 post() 只解析 application/x-www-form-urlencoded 和 multipart/form-data 两种编码的 body，其他一律忽略。
常见错误现象：
立即学习“PHP免费学习笔记（深入）”；
- 前端用
fetch发 JSON，但没改Content-Type，后端仍按表单解析 → 返回空 - Postman 里选了 “raw” 但没切到 JSON 模式，实际发的是纯文本 →
post()不识别 - Nginx 或 Apache 配置了请求体大小限制（如
client_max_body_size 1m），超限请求被截断 → 数据不全，post()解析失败返回空 - 表单没加
name属性，或者 name 带了方括号但后端没配数组规则（如user[phone]得用post('user/a')）
验证失败时怎么保留用户已填的表单值
ThinkPHP 不像 Laravel 自动回填，validate 失败后页面刷新，原始 POST 数据就丢了。得手动把数据塞进模板变量里。
使用场景：登录页输错密码，别让用户再输一遍账号和验证码。
实操建议：
- 验证前先存一份：
$data = $this->request->post();，验证失败后传给模板：return view('login', ['old' => $data]); - 模板中用
{$old.username|default=''}回填（注意用|default防 Notice） - 别直接在控制器里用
$this->assign('old', $data)后跳转 —— redirect 会丢数据，必须是同一响应周期内渲染 - 如果用了 AJAX 提交，后端验证失败应返回 JSON，前端自己处理错误并保留在输入框，而不是靠服务端回填
CSRF 防护怎么和 POST 表单配合用
ThinkPHP 默认开启 CSRF 验证，但只对 POST、PUT、DELETE 生效，且要求表单里有 <input type="hidden" name="__token__" value="{:token()}">。漏掉这个字段，post() 会直接返回空或抛异常，而不是进业务逻辑。
容易踩的坑：
- 用 JS 动态生成表单但忘了加
__token__字段 → 提交 400 或空白响应 - 多个表单共用一个页面，
{:token()}生成的是同一个 token，第二个提交就会失效 → 每个表单需独立调用{:token('form2')} - AJAX 提交时没带 token，header 里加
X-CSRF-TOKEN也没用，ThinkPHP 默认只从 POST body 里读__token__，得在配置里开'token_on_header' => true - token 过期时间默认 60 秒，长表单页面停留太久会导致提交失败，可调大
'token_expire'配置项
复杂点在于 token 机制和表单生命周期耦合紧密，一环断就整个 POST 流程卡住，而且错误提示往往不明确，比如只报“非法请求”，得倒查是不是 token 缺失、过期或重复使用。
