ThinkPHP 6.0 的修改器不是写个 _setAttr 就能用的，必须按命名规范 + 触发时机 + 环境约束三者同时满足，否则根本不会执行。
修改器方法名必须是 set + 字段驼峰 + Attr
数据库字段叫 user_name，模型里就得写 setUserNameAttr；字段是 password，就得叫 setPasswordAttr。旧版 TP5 的 _setAttr 全局钩子在 TP6+ 已完全移除，写了也白写。
常见错误现象：
- 写了
setPasswordAttr却没触发 → 检查模型是否继承think\Model（不是think\db\Model） - 写了
set_password_attr或setUser_nameAttr→ 驼峰转换错误，字段名和方法名大小写必须严格匹配 - 字段是下划线命名但方法用了全小写（如
setusernameattr）→ 不识别，TP6 不做自动转换
只在 save() / create() / update() 等写入操作中生效
修改器不是“赋值即触发”，而是仅在模型执行持久化动作时才跑。直接 $user->password = '123' 或 $user->data(['password' => '123']) 不会调用 setPasswordAttr。
立即学习“PHP免费学习笔记（深入）”；
使用场景和要点：
-
$user = new User(); $user->password = '123'; $user->save();→ ✅ 触发 -
User::create(['password' => '123']);→ ✅ 触发 -
$user = User::find(1); $user->password = 'new'; $user->save();→ ✅ 触发（更新也走修改器） -
$user->data(['password' => '123'])->save();→ ❌ 不触发，data()绕过修改器逻辑
密码加密别硬写 md5，参数判空是刚需
用 setPasswordAttr 做密码哈希时，password_hash() 是唯一合理选择，且必须加空值判断。
典型写法：
public function setPasswordAttr($value)
{
return $value ? password_hash($value, PASSWORD_ARGON2ID) : null;
}
容易踩的坑：
- 不判空：
password_hash(null, ...)返回false，导致入库失败或存入字符串"false" - 用
md5($value)或sha1($value)→ 不安全，无盐、不可伸缩、易被爆破 - 环境不支持
PASSWORD_ARGON2ID（PHP < 7.3 或未启用sodium扩展）→ 改用PASSWORD_DEFAULT，它会随 PHP 升级自动切换更优算法 - 在修改器里调
$this->email或其他字段取值 → 此时数据可能未完整加载，拿到的是空或旧值，应改用事件或重写save()
修改器里不能依赖其他字段状态
TP6 修改器默认只接收一个参数 $value（TP6.1+ 默认行为），即使你写成 setPasswordAttr($value, $data)，$data 也不保证是完整、最新、一致的数据快照。
想实现“用户名+密码联合加盐”这类逻辑：
- ❌ 别在
setPasswordAttr里读$this->username或$this->getData('username') - ✅ 改用模型事件：
before_write，此时所有字段已赋值完毕，$this->getData()可靠 - ✅ 或重写
save()方法，在调用父类save()前手动处理多字段协同逻辑
真正容易被忽略的点：修改器是单字段隔离处理单元，设计初衷就是避免副作用。一旦开始跨字段读取，就等于把数据一致性责任推给了开发者，而 TP6 的执行顺序并不保证这种读取的安全性。
