Laravel 8 表单必须在控制器层统一拦截并重置不可信字段，禁止前端写死默认值；需按过滤→验证→默认值注入三步处理，日期用 Carbon::now() 生成，价格等字段须先验证再判空赋默认值。
在 Laravel 8 表单中，用户可能绕过前端限制直接提交空值、恶意字符串或伪造时间戳，若后端未对输入字段做防御性默认值注入与清理，会导致数据库写入 null、SQL 注入风险或业务逻辑错乱（如预约时间被设为 1970-01-01）。必须在控制器层统一拦截并重置不可信字段，而非依赖 Blade 中的 value="{{ now()->format('Y-m-d') }}" 或模型 $attributes。
前端表单不设静态默认值，仅用 old() 回显
在 Blade 模板中，【禁止】使用 now()->format() 直接写死 value 属性。这会暴露服务器时间、时区偏差，且无法防止用户篡改 HTML 后提交非法格式（如 date 字段填 "2026-06-99"）。
正确写法：所有 input 的 value 统一使用 old('field_name', $fallback)，其中 $fallback 为空字符串或 null，不带任何时间计算。
示例：<input type="date" name="event_date" value="{{ old('event_date') }}">
控制器中按字段类型分层校验与兜底
在 store/update 方法里，对每个关键字段执行三步操作：过滤 → 验证 → 默认值注入。顺序不可颠倒，否则验证会失败或默认值被跳过。
第一步：用 validate() 做基础格式校验，但允许 nullable，不设 required
第二步：对通过校验的字段，检查是否为空或非法（如 time 字段为 "" 或 "25:00"），此时才触发默认值逻辑
第三步：用 Carbon::now() 生成带时区的值，而非 date('Y-m-d') —— 后者忽略 APP_TIMEZONE 配置，易存错时间
日期与时间字段的安全兜底（推荐）
方法一：分离 date + time 字段，合并后统一兜底
获取请求中的 event_date 和 event_time，两者都非空才组合成 Carbon 实例；任一为空，则整条记录使用 now() 生成完整 datetime。
【注意】不要用 $request->input('event_date', now()->format('Y-m-d')) —— input() 的第二个参数在值为 '' 时不会触发回退，只对 key 不存在生效。
方法二：前端改用 datetime-local 输入，后端直接校验并兜底
Blade 中用 <input type="datetime-local" name="event_at">，控制器中 validate(['event_at' => 'nullable|date_format:Y-m-d\TH:i'])，再判断 $validated['event_at'] 是否为空，为空则赋值 now()。
价格、状态等非时间字段的默认值注入
价格字段不能用 $request->price ?? 99.99，因为当用户提交 "0" 或 "-100" 时，?? 会误判为 falsy 并覆盖真实意图。
正确做法：先验证数值范围，再判断是否缺失
① 用 validate(['price' => 'nullable|numeric|min:0|max:999999.99']) 锁定合法区间
② 若 validated 数据中 price 为 null，则从 config('pricing.default_price') 读取动态默认值
③ 若 price 为 0 或其他合法数字，原样保留，不干预
状态字段（如 status）同理：validate(['status' => 'nullable|in:draft,published,archived'])，再用 $validated['status'] ?? 'draft' 赋值，【draft 必须是白名单内值】
彻底清空表单旧值（Inertia.js 场景）
当使用 Inertia.post 删除草稿后重定向回新建页，useForm 仍显示旧值，是因为 form.reset() 只恢复到初始化时的 defaults，而非清空。
解决方案：在 onSuccess 回调中，先调用 form.defaults({}) 清空所有默认值，再调用 form.reset()。
示例：form.defaults({ event_date: null, event_time: null, price: null }); form.reset();
