ThinkPHP 6 的 validateOnly 不自动过滤非法字段，需手动用 $validate->rule() 获取白名单并 array_intersect_key 过滤数据，否则未声明字段仍可被访问导致安全风险。
ThinkPHP 6 的 validateOnly 不会自动过滤非法字段
默认情况下，validateOnly 只校验、不拦截——它返回 true 或 false，但原始 $request->post() 数据照旧全量存在。想“只接收验证通过的字段”，得手动做白名单裁剪，不能指望验证器自己删数据。
常见错误现象：validateOnly 返回 true，但控制器里仍能取到未在验证规则中定义的字段（比如恶意传入的 is_admin=1），导致越权或脏数据写入。
- 必须配合
$validate->rule()显式声明字段白名单，或手动提取规则键名 - 验证器类中避免用
scene动态追加字段，否则白名单易漏 - 若规则含
require以外的条件（如in、regex），字段仍会被保留，只是值不合法——裁剪逻辑要区分“字段存在”和“字段通过”
用 Validate::rule() 提取白名单再过滤数据
ThinkPHP 验证器的 rule 属性是公开的，可直接读取已注册的字段名列表，这是最可靠的数据源。比硬编码字段名或解析规则字符串更安全，也兼容自定义验证场景。
使用场景：需要严格按验证规则放行字段，且不希望因规则变更导致过滤逻辑不同步。
立即学习“PHP免费学习笔记（深入）”；
$validate = new UserValidate();
$data = $this->request->post();
// 获取验证器中所有已声明的字段名（不含场景过滤）
$allowedFields = array_keys($validate->rule());
// 白名单过滤：只保留 rule 中定义的字段
$filteredData = array_intersect_key($data, array_flip($allowedFields));
if (!$validate->validateOnly($filteredData)) {
throw new ValidateException($validate->getError());
}
-
array_intersect_key比循环isset更快，也避免漏掉空字符串等边界值 - 注意
$validate->rule()返回的是完整规则数组，键即字段名，无需额外解析 - 若用了
scene，需先调用$validate->scene('edit')再取rule()，否则拿到的是默认规则
别在验证器里用 filter 或 auto 做字段裁剪
filter 是对字段值做类型转换（如转 int），auto 是自动填充，默认都不影响字段是否存在。试图靠它们“过滤掉非法字段”完全无效，甚至可能掩盖问题。
性能影响：filter 在验证前执行，若字段根本不在规则里，压根不会触发；auto 则只在 validate() 成功后才写入，对拦截毫无帮助。
-
filter对未定义字段无作用，也不会报错或忽略 -
auto字段若未在 rule 中声明，即使设置了auto也不会被填充——但它依然存在于原始数据中 - 混淆点：文档里“过滤”一词指值处理，不是字段级剔除，容易误解
验证失败时 $validate->error() 不包含非法字段信息
$validate->error() 只返回校验失败字段的提示，对“多传了字段”这种行为默认静默。这意味着你无法靠它发现攻击者是否塞了额外参数——必须前置白名单控制，不能依赖错误反馈来兜底。
兼容性注意：ThinkPHP 5.1 和 6.x 行为一致，均不校验未声明字段的存在性；7.0 仍未加入该能力。
- 测试时可用
array_diff_key($data, $allowedFields)快速检查是否有非法字段传入 - 生产环境建议加日志记录非法字段（如
Log::notice('illegal fields:', array_diff_key($data, $allowedFields))） - 不要用
!empty($validate->error())当字段合法性判断依据——它对非法字段完全不敏感
