ThinkPHP适合API开发，因其从5.0起内置路由分组、中间件链、JSON响应封装和参数自动解析，8.0默认支持RESTful；三步初始化：创建项目、启动验证、统一响应格式；资源路由需启用rest_action_as_method并用prefix分组加版本前缀；数据接收自动解析JSON或表单，验证器须用点号命名规则；安全需启用跨域中间件、自定义Token验证并绑定路由分组。
你需要在ThinkPHP项目中快速搭建一个稳定、可维护、符合行业规范的API服务，而不是堆砌功能却无法上线的半成品。
为什么ThinkPHP适合API开发
ThinkPHP不是为后台管理页面设计的框架，它从5.0开始就内置了面向API的路由分组、中间件链、JSON响应封装和参数自动解析能力。8.0版本更将RESTful支持设为默认行为——【必须开启config/route.php中'rest_action_as_method' => true】，否则PUT/DELETE请求永远404。
它的优势不是“语法简单”，而是每个组件都为API场景做了适配：控制器生成带--api参数、验证器默认返回JSON结构、中间件可插拔式启用跨域与Token校验、路由前缀天然支持/v1/users这种版本路径。
三步完成标准API环境初始化
第一步：用Composer创建纯净API项目
立即学习“PHP免费学习笔记（深入）”；
执行composer create-project topthink/think tp-api，不要加版本号后缀——ThinkPHP 8.1.0是当前生产环境最稳版本，Composer会自动拉取最新兼容版。
第二步：启动服务并验证基础路由
进入tp-api目录→运行php think run→浏览器访问http://127.0.0.1:8000，看到“Welcome to ThinkPHP”即成功。这一步不能跳过，因为think run会自动检测runtime目录权限，失败时直接报错，比部署到Nginx后再调试快十倍。
第三步：强制统一响应格式
在app/controller/Controller.php中重写success()和error()方法，返回固定结构['code'=>0,'data'=>[],'msg'=>'ok']，并在头部设置Content-Type: application/json; charset=utf-8。这避免前端每次都要手动解析不同格式，也防止因header未设导致iOS客户端解析失败。
资源路由配置与控制器生成
方法一：命令行一键生成标准API控制器
执行php think make:controller api/UserController --api，生成的类自动继承think\Controller，且预置index()、read()、save()、update()、delete()五个public方法——注意不是show()或store()，ThinkPHP 8严格绑定HTTP动词与方法名。
方法二：注册资源路由并启用REST动词识别
编辑app/route/app.php，添加Route::resource('users', 'api/UserController'); → 然后确认config/route.php中'rest_action_as_method' => true已开启 → 最后清空runtime/cache/目录，否则旧路由缓存不刷新。
方法三：为API加版本前缀（非字符串拼接）
不要写Route::resource('v1/users', ...)，而要用分组：Route::prefix('v1')->group(function () { Route::resource('users', 'api/UserController'); });。这样所有子路由自动带上/v1前缀，且中间件、验证器等均可按分组独立配置。
数据接收与验证实战
① 前端发JSON数据时，Content-Type必须是application/json，后端直接用$this->request->param('name')取值——框架自动解析body并合并query参数，无需手动json_decode(file_get_contents('php://input'))。
② 表单提交走application/x-www-form-urlencoded，仍可用$this->request->param()，但注意ThinkPHP 8默认过滤空字符串和null值，调试时先dump($this->request->param())看原始输入全貌。
③ 验证器必须单独生成：执行php think make:validate User，在validate/User.php中定义规则，然后在控制器方法里调用$this->validate($data, 'User.create')——【规则名必须带点号分隔，如User.create，否则验证器找不到对应场景】。
安全中间件启用流程
第一步：启用跨域支持
在app/middleware.php中，把think\middleware\AllowCrossDomain::class加入全局中间件数组，无需任何配置即可放行GET/POST/PUT/DELETE请求。
第二步：接入Token身份验证
新建app/middleware/CheckToken.php，读取Header中Authorization: Bearer xxx字段，用JWT::parseToken()->check()验证有效性，验证失败直接return json(['code'=>401,'msg'=>'token无效'])并中断执行。
第三步：绑定中间件到路由分组
在app/route/app.php中，对需要鉴权的API加一层分组：Route::middleware(['CheckToken'])->group(function () { Route::resource('orders', 'api/OrderController'); });。这样只有带合法Token的请求才能进控制器，连__construct()都不会执行。
