ThinkPHP路由变量过滤必须在路由定义阶段用正则约束，如{id:\d+}；全局中间件或控制器逻辑无效。正则不支持\w匹配中文，需显式范围或1+，Route::pattern()仅对未显式声明正则的变量生效。\s\/ ↩
ThinkPHP 的路由变量过滤不能靠全局中间件或控制器逻辑来实现——必须在路由定义阶段用正则约束，否则参数在进入控制器前就已解析完毕，过滤失效。
路由定义里怎么写正则约束
ThinkPHP 6 的 Route::get()、Route::rule() 等方法支持在变量名后追加正则表达式，语法是 {变量名[:正则]}。注意冒号是必需的，且正则不能带开头 ^ 和结尾 $，框架会自动补全。
-
Route::get('user/{id:\d+}', 'UserController@read');—— 只接受纯数字id -
Route::get('post/{slug:[a-z0-9\-]+}', 'PostController@view');—— 限制 slug 为小写字母、数字和短横线 - 多个变量可分别约束：
Route::get('archive/{year:\d{4}}/{month:\d{2}}', 'ArchiveController@list');
为什么用 [\w\-]+ 会匹配失败
PHP 的 PCRE 默认不识别 \w 对 Unicode 字符（比如中文）的支持，而 ThinkPHP 路由底层使用的是 preg_match()，未启用 u 修饰符。所以 {name:[\w\-]+} 在含中文时实际不匹配。
- 要支持中文+字母+数字+下划线+短横线，显式写成：
{name:[\x{4e00}-\x{9fa5}a-zA-Z0-9_\-]+}（需加u修饰符） - 更稳妥的做法是改用
{name:[^\s\/]+}：排除空格和斜杠，覆盖绝大多数 URL 安全字符 - 若真要中文支持，必须在正则后加
u，但 ThinkPHP 不直接暴露修饰符配置，只能绕过——改用闭包路由 + 手动验证，或升级到 TP8（实验性支持->pattern()方法）
Route::pattern() 全局规则的坑
Route::pattern() 可以统一设置变量默认正则，但它只对「未显式声明正则」的变量生效。一旦某条路由写了 {id:\d+}，它就完全忽略全局 pattern。
立即学习“PHP免费学习笔记（深入）”；
- 常见误用：
Route::pattern(['id' => '\d+']); Route::get('user/{id}', ...);—— 这里{id}没带正则，会应用全局规则，OK - 但
Route::get('user/{id:\w+}', ...);就彻底绕过了Route::pattern()，哪怕你设了id => \d+ - 全局 pattern 不支持 Unicode，和上面一样，
\w对中文无效；建议只用于简单场景，如统一限制id必须为数字，token长度为 32 位
正则约束不是“过滤”，而是“准入控制”：不满足正则的请求根本不会到达控制器，连中间件都进不去。如果业务上需要宽松接收再清洗（比如兼容旧 URL 带空格），就得放弃路由层约束，改用控制器内 input() + filter_var() 或自定义验证规则——但这时你得自己处理 404 或重定向逻辑。
