Laravel无内置“防火墙”，非法GET参数拦截依赖路由约束+中间件协同：路由层用where()校验路径参数格式（如id必须为数字），中间件用abort_if()校验查询参数，并须正确注册及返回$next($request)。
直接说结论：Laravel 本身没有叫“防火墙”的内置组件，所谓“拦截非法 GET 参数”，实际靠的是路由参数约束 + 中间件组合实现。硬套“防火墙”概念反而容易配错位置、漏掉关键返回值，导致请求静默失败或绕过校验。
路由层用 where() 拦住非法参数格式
GET 请求的路径参数（比如 /user/{id} 中的 {id}）必须在路由匹配阶段就过滤，否则非法值会直接进控制器，增加后续验证负担甚至引发 SQL 注入或类型错误。
- 只允许数字 ID：
Route::get('/user/{id}', [UserController::class, 'show'])->where('id', '[0-9]+'); - 多个参数分别约束：
->where(['category' => '[a-z]+', 'slug' => '[a-z0-9\-]+']) - 别写
^[0-9]+$这种带锚点的正则——Laravel 的where()自动加了^和$，写重复会匹配失败 - 全局复用约束可注册到
RouteServiceProvider::boot()里：Route::pattern('id', '[0-9]+');，之后所有{id}都自动生效
中间件里用 abort_if() 校验查询参数（$request->query()）
查询参数（如 ?sort=name&limit=20）不在路由定义中，没法用 where() 管，得靠中间件。但注意：中间件必须显式注册到 $routeMiddleware 或 $middlewareGroups['api']，且路由要绑定，否则压根不执行。
- 检查必需参数是否存在：
abort_if(!$request->has('token'), 400, 'Missing token'); - 限制值范围：
abort_if(!in_array($request->input('format'), ['json', 'xml']), 400); - 别用
empty($request->input('page'))判空——0会被误判为缺失；改用$request->filled('page')或abort_if($request->input('page') === null, 400) - IP 白名单慎用
$request->ip()：反向代理下默认拿到的是 Nginx 内网地址，必须提前配好TRUSTED_PROXIES环境变量，否则永远拦不住真实用户
handle() 忘记 return $next($request) 就等于挂起请求
这是最常踩却最难排查的坑：中间件逻辑写了，日志也打了，但浏览器一直转圈、cURL 超时、响应为空——八成是 handle() 末尾漏了 return。
- 放行必须写：
return $next($request);，只写$next($request);不行 - 终止也必须写：
return response()->json(['error' => 'Bad request'], 400);，不能只写response()->json(...) - 别用
dd()或die调试：会跳过 Laravel 响应生命周期，看不到真实状态码和头信息 - 调试优先用
Log::debug('in validate query');，再查日志确认是否真被调用
真正难的不是写逻辑，而是搞清每个参数在哪一层生效：路由参数走 where()，查询参数走中间件，而中间件能不能跑起来，全看注册位置对不对、return 写没写。漏掉任一环，表面看像“防火墙失效”，实际只是配置断在了半路。
