ThinkPHP字段合法性校验核心是白名单/黑名单拦截，strict()控制字段存在性检查，insertFields/updateFields定义场景白名单，allowField()动态指定合法字段，fields_strict配置全局开关。
ThinkPHP 中的字段合法性严格校验，核心是控制“哪些字段能写入数据库”，防止表单注入非法字段。它不依赖验证器（validate），也不等同于类型转换（$type），而是在数据写入前做字段白名单/黑名单层面的拦截。
strict 方法：控制字段存在性检查
从 ThinkPHP 3.2.3 起，strict() 成为模型和查询构造器的连贯方法，用于开关字段名合法性检查：
- 开启 strict（默认多数版本开启）：若传入数据中包含数据表不存在的字段，直接抛出异常，中断写入
- 关闭 strict：自动过滤掉非法字段，仅保留表中真实存在的字段后执行 SQL
用法示例：
<?php
$user = new UserModel();
$user->strict(true)->save(['name' => '张三', 'hack_field' => 'xxx']);
// 抛出异常：字段 hack_field 不存在
insertFields / updateFields：按场景定义字段白名单
适用于 ThinkPHP 3.x 和部分 5.x 项目（create 流程），通过模型属性声明允许写入的字段：
立即学习“PHP免费学习笔记（深入）”；
- protected $insertFields：仅在新增（add）时生效，限制可插入字段
- protected $updateFields：仅在更新（save）时生效，限制可更新字段
支持字符串或数组写法，字段必须是真实数据表字段名（非映射别名）：
<?php
class UserModel extends Model {
protected $insertFields = ['username', 'email', 'password'];
protected $updateFields = ['username', 'email'];
}
调用 create() 后，超出白名单的字段会被静默丢弃 —— 这是早期最常用、最轻量的字段防护方式。
allowField()：动态指定合法字段（推荐用于 5.x+）
ThinkPHP 5.x 起，allowField() 替代了 create + insertFields 的组合，更灵活且与 save / insert 深度集成：
- 必须在调用
save()或insert()前链式调用 - 传入数组或字符串，明确列出允许写入的字段名
- 未在 allowField 中声明的字段，无论是否存在于数据表，一律被忽略
示例：
<?php
$data = ['username' => '李四', 'avatar' => '/img.png', 'token' => 'abc123'];
UserModel::create()->allowField(['username', 'avatar'])->save($data);
// token 字段被跳过，即使表中真有 token 字段也不会写入
全局配置 fields_strict：统一开关严格模式
可在数据库配置中设置 fields_strict 参数，实现全站字段校验策略统一管理：
-
'fields_strict' => true：所有 Db 查询和 Model 写入默认启用 strict 检查 -
'fields_strict' => false：默认关闭，非法字段自动剔除
该配置优先级低于代码中显式调用的 strict(true/false)，适合中大型项目标准化治理。
