ThinkPHP后台数据管理核心卡点是模型定义、查询构造器用法、权限过滤时机；模型类名与表名须严格匹配默认映射规则，字段名需一致，关联查询须预加载，删除操作应优先软删除，搜索需用whereRaw()并转义，所有列表页必须统一权限过滤。
ThinkPHP后台数据管理不是“写个控制器+模板”就能跑通的，核心卡点在模型定义、查询构造器用法、权限过滤时机这三处。不提前对齐规则，列表页查不到数据、编辑页报Template not found、删除时误删关联记录都是高频问题。
模型类命名和表名必须严格匹配
ThinkPHP 6 默认按「模型类名转小写+加s」映射表名，比如User类对应user表，AdminUser类对应admin_user表。一旦数据库前缀或实际表名不一致，select()直接返回空数组，且无任何错误提示。
- 检查
config/database.php里的'prefix' => 'tp_'是否和你建的表前缀完全一致（比如表叫tp_admin_user，就不能设成prefix => 'ea_'） - 如果表名不规范（如含大写字母或下划线位置异常），必须在模型里显式声明：
protected $table = 'my_custom_table_name'; - 字段名也得对齐：数据库是
create_time，模型里就别写createTime，否则where()条件会失效
列表页用with()预加载，别在循环里查关联数据
后台常见的「用户列表显示部门名称」「订单列表显示客户姓名」，如果在模板里用{$user.dept.name}又没预加载，就会触发 N+1 查询——100 条用户数据，额外执行 100 次部门查询，页面直接卡死。
- 控制器中改用
with('dept')一次性关联查出：User::with('dept')->select(); - 关联定义必须写在模型里：
public function dept() { return $this->belongsTo(Department::class, 'dept_id'); } - 如果关联字段可能为空（如
dept_id为 NULL），模板里要加判空：{:isset($user->dept) ? $user->dept->name : '未分配'}
删除操作必须区分软删除和硬删除
destroy()默认是硬删除，一旦执行无法回滚。后台管理场景下，90% 的「删除」其实是标记状态，不是真删。
立即学习“PHP免费学习笔记（深入）”；
- 开启软删除：在模型里引入
use think\model\concern\SoftDelete;，并定义protected $deleteTime = 'delete_time'; - 调用
destroy()时自动写入时间戳，数据仍保留在表中；后续select()默认不查已删除项 - 需要查全部（含已删）时，显式加
withTrashed()：User::withTrashed()->select(); - 真要物理删除？得先关掉软删除：
User::withoutEvents(function () { return User::destroy(1); });，但建议只在运维脚本里用
搜索条件拼接要用whereRaw()，别信where()能防注入
后台搜索框常需模糊匹配多个字段，比如「用户名或邮箱包含关键词」。直接写where('username', 'like', "%$keyword%")->orWhere('email', 'like', "%$keyword%")会导致 SQL 逻辑错乱，且$keyword若含单引号就会报错。
- 正确做法是用
whereRaw()拼完整条件：whereRaw("(username LIKE '%{$keyword}%' OR email LIKE '%{$keyword}%')") - 但必须手动过滤
$keyword：用str_replace("'", "''", $keyword)或htmlspecialchars()转义单引号 - 更安全的替代方案：把关键词拆成数组，用
whereBetween()或whereIn()等确定性条件，避免自由文本拼接
真正难的不是写完增删改查，而是所有列表页都得考虑权限过滤后的数据可见范围——比如销售只能看自己客户的订单，这个逻辑如果漏在某个index()方法里，数据就直接越权了。
