在ThinkPHP中实现密码自动哈希需确保模型继承think\Model、方法命名为setPasswordAttr、通过模型实例赋值并调用save()，否则明文入库导致登录失败。
在ThinkPHP项目中实现密码入库前自动哈希，必须让setPasswordAttr方法真正生效，否则数据库里存的永远是明文，登录验证必然失败；这和中间件、全局钩子、事件回调无关，只取决于模型定义是否精准匹配框架识别规则。
确认模型基础结构正确
第一步：打开你的用户模型文件（如app\model\User.php），检查类定义是否继承think\Model而非think\db\Model——这是修改器生效的前提，继承错类会导致整个setPasswordAttr方法被完全忽略。
第二步：确认模型顶部声明了namespace和use语句，且没有遗漏public $connection或protected $table等干扰配置；若存在自定义连接或表名映射，需确保未覆盖默认行为。
第三步：用php -l命令校验该PHP文件语法无误，尤其注意花括号配对和分号结尾——一个隐藏的语法错误会让修改器静默失效，调试时却查不到任何报错。
立即学习“PHP免费学习笔记（深入）”；
严格按规范命名修改器方法
方法一：字段名为password → 方法名必须为【setPasswordAttr】，首字母大写、驼峰拼写、末尾Attr三字不可省略或小写。
方法二：字段名为user_pwd → 方法名必须为【setUserPwdAttr】，下划线后紧跟的字母必须大写，不能写成setUser_PwdAttr或setUserpwdAttr。
方法三：字段名为pass_word → 方法名必须为【setPassWordAttr】，两个下划线之间的w必须大写，这是TP6解析字段映射的硬性规则，写错一个字母就无法触发。
编写安全可用的setPasswordAttr逻辑
复制以下代码到模型中，替换原有 setPasswordAttr 方法：
public function setPasswordAttr($value)
{
if (empty($value)) {
return null;
}
if (strlen($value) 72) {
throw new \InvalidArgumentException('密码长度必须为 8–72 字符');
}
return password_hash($value, PASSWORD_DEFAULT, ['cost' => 12]);
}
这段代码直接调用PHP原生password_hash()，不依赖任何ThinkPHP封装层，避免了二次封装带来的不可控风险；cost设为12比默认10更抗暴力破解，又不会显著拖慢接口响应。
验证修改器是否真实触发
在控制器注册逻辑中，添加一行调试输出：trace('password attr triggered: ' . $value);
执行注册操作后，立即去runtime/log/目录下打开最新日志文件，搜索“password attr triggered”，如果看到明文密码被打印出来，说明修改器已成功触发；若没出现，说明前面某一步配置有误，需倒查模型继承、方法命名、调用路径。
注意：不要用dump()或echo调试，它们在异步CLI或队列场景下不可见，trace()才是ThinkPHP日志系统唯一可靠的调试入口。
确保走的是模型save流程
① 正确写法：
$user = new User();
$user->username = 'admin';
$user->password = '123456abc';
$user->save();
② 错误写法：
User::update(['username' => 'admin', 'password' => '123456abc']);
→ 绕过模型实例，setPasswordAttr完全不执行。
③ 危险写法：
$user = User::find(1);
$user->data(['password' => 'newpass'])->save();
→ data()会中断属性赋值链，导致修改器跳过。
只有通过模型实例赋值→调用save()这一条路径，才能保证setPasswordAttr稳定触发；所有数组式update、Db::table()、静态方法调用，都不走修改器。
