$request和$response是CodeIgniter4处理HTTP请求与响应的核心对象，必须通过它们获取数据（如getVar()、getGet()）和设置响应（如setJSON()、setStatusCode()），绕过会导致安全过滤失效、状态码丢失及内容协商失败。
$request 和 $response 不是可选工具，而是你每次处理请求时必须面对的两个核心对象。跳过它们直接用 $_GET 或 echo，等于绕开框架的安全过滤、内容协商和状态码管理，迟早踩坑。
怎么拿到请求数据？别再用 $_POST 了
CodeIgniter4 的 IncomingRequest 对象已自动注入控制器，通过 $this->request 访问。它统一处理 GET、POST、JSON、文件上传等输入源，且默认做过滤（XSS 防御、类型转换等）。
-
getVar('name')是首选：自动识别请求体类型（表单提交走 POST，Content-Type: application/json则解析 JSON），比getPost()或getGet()更健壮 - 明确类型时才用细分方法：
getGet('id')只取 URL 参数，getPost('email')只取表单字段，getJSON(true)返回关联数组（false返回对象） - 上传文件必须用
getFiles()，它返回FileCollection对象，不是原始$_FILES数组 —— 直接操作$_FILES会跳过框架的验证和临时路径管理 - 注意：所有
getVar()系列方法默认返回null而非空字符串或false，判空要用=== null，而不是empty()
怎么设置响应？status code 和 content-type 必须显式控制
$this->response 是唯一推荐的输出通道。框架不会拦截你用 echo 输出的内容，但那样无法设置状态码、头信息，也无法做内容协商（比如根据 Accept 头返回 JSON 或 HTML）。
- 状态码必须用
setStatusCode(404, 'Not Found')：硬编码http_response_code(404)会绕过框架的响应生命周期，导致缓存头、CORS 头等丢失 - JSON 输出优先用
setJSON($data)：它自动设置Content-Type: application/json并调用json_encode()，还支持JSON_UNESCAPED_UNICODE等选项（通过第二个参数传入） - 自定义响应体用
setBody($string)，但注意它不修改Content-Type—— 如果返回 HTML，得手动setHeader('Content-Type', 'text/html; charset=utf-8') - 重定向不要用
header('Location: ...')：改用redirect()->to('/login')或$this->response->setStatusCode(302)->setHeader('Location', '/login')，前者更安全（自动处理相对路径、防止头已发送错误）
中间件里怎么改请求或响应？before/after 时机很关键
中间件的 before() 方法接收 RequestInterface 和 ResponseInterface，但它只能修改请求对象（如添加属性、校验 token），不能直接写响应体；after() 才能安全修改响应（如加 CORS 头、压缩 body）。
-
before()中调用$response->setBody()无效：此时响应还没生成，该调用会被后续控制器覆盖 - 想在中间件中终止请求（如鉴权失败），必须返回
$response实例，例如：return $response->setStatusCode(401)->setJSON(['error' => 'Unauthorized']) - 修改请求头要在
before()里用$request->setHeader()，但注意：多数服务器头（如X-Forwarded-For）由反向代理设置，PHP 层应通过配置$config->intermediateIPs解析，而非手动读取 -
after()中可安全调用$response->appendHeader('X-Frame-Options', 'DENY')，此时响应体已生成，只追加头信息
常见错误：IP 获取不准、AJAX 判断失效、JSON 解析空数组
这些不是 Bug，而是没理解框架对 HTTP 协议层的抽象逻辑。
-
$request->getIPAddress()返回0.0.0.0？检查app/Config/App.php中的proxyIPs是否配置正确 —— 如果用 Nginx 作反向代理，需把 Nginx 的内网 IP 加入该数组，否则框架认为所有请求都来自代理本身 -
$request->isAJAX()总是false？确认前端请求是否带X-Requested-With: XMLHttpRequest头 —— Fetch API 默认不发这个头，要用headers: { 'X-Requested-With': 'XMLHttpRequest' }显式添加 -
$request->getJSON()返回null？先用file_get_contents('php://input')确认原始请求体是否为空或非法 JSON；常见原因是前端发了Content-Type: text/plain却传 JSON 字符串，框架拒绝解析 -
setJSON([])输出[]但前端收到空响应？检查是否在控制器里用了return语句提前退出，导致$response没被返回给框架调度器 —— CodeIgniter4 要求控制器方法最终返回ResponseInterface实例
最易被忽略的一点：所有请求数据方法（getVar、getGet 等）默认对输入做 trim 和 type casting，如果你需要原始未处理值，得用 $this->request->getRawInput() 或直接读 php://input，但那就意味着你主动放弃了框架的过滤能力。
