应使用 request()->validate() 预处理 GET 数组参数，如 'ids' => ['array'], 'ids.*' => ['integer', 'min:1']，确保 whereIn() 接收干净整数数组；空数组需判空避免 IN () 报错，多参数须独立处理，字段名与规则名须完全一致。
GET数组参数在whereIn中直接用会报错
浏览器传过来的 ids[]=1&ids[]=2&ids[]=3，PHP自动解析成 $_GET['ids'] 是数组，但 Laravel 查询构造器的 whereIn() 虽然接受数组，却**不接受 null、空字符串混入或非标量值**。常见错误是前端没过滤空值，比如 ids[]=1&ids=&ids[]=3，导致 $_GET['ids'] 变成 [1, '', 3]，whereIn('id', $_GET['ids']) 执行时抛出 SQLSTATE[HY093]: Invalid parameter number 或类型不匹配。
实操建议：
- 始终用
array_filter($_GET['ids'] ?? [], 'is_numeric')清洗，避免空值和非数字干扰（若字段是整型） - 显式 cast 类型：
array_map('intval', array_filter($_GET['ids'] ?? [])) - 加长度判断，空数组直接跳过查询：
if (! empty($ids)) { $query->whereIn('id', $ids); }
Laravel 10+ 中用 request()->validate() 预处理更安全
靠手动清洗 $_GET 容易遗漏，Laravel 的验证层能统一拦截非法输入。定义规则时明确数组结构和子项类型，框架会自动过滤并 cast。
示例：
$validated = request()->validate([
'ids' => ['array'],
'ids.*' => ['integer', 'min:1'],
]);
此时 $validated['ids'] 就是干净的整数数组，可直接传给 whereIn()。注意：ids.* 规则必须写，否则 array 规则只校验是否为数组，不校验内部元素。
关键点：
- 不用
request('ids')，而用request()->validate()返回值，它已过滤 null 和非法项 - 如果允许 0 或负数，把
min:1换成numeric并配合业务逻辑判断 - 验证失败时自动返回 422，无需手写 if 判断
多个 GET 数组参数（如 status[] 和 type[]）要分别处理
不能把不同语义的数组拼一起用 whereIn()，比如 status[]=active&status[]=pending&type[]=user&type[]=admin，这两个数组含义不同，必须独立绑定。
正确写法是链式调用：
$query = User::query();
if (! empty($statuses = request()->validated()['status'] ?? [])) {
$query->whereIn('status', $statuses);
}
if (! empty($types = request()->validated()['type'] ?? [])) {
$query->whereIn('type', $types);
}
容易踩的坑：
- 别写成
$query->whereIn(['status', 'type'], [$statuses, $types])——whereIn()不支持多字段批量绑定 - 如果某个数组为空，
whereIn('col', [])会生成WHERE col IN ()，MySQL 报错；必须提前判空 - 字段名和 GET 参数名不必一致，但语义要对齐，比如
type[]对应数据库的user_type字段，就该写whereIn('user_type', $types)
用 when() 避免重复判空逻辑
当条件多、每个都可能为空时，手写 if 显得啰嗦。when() 是 Laravel 提供的链式条件方法，内部自动跳过 falsey 值。
等价于上一节的写法，但更简洁：
User::when(request('status'), function ($q, $statuses) {
return $q->whereIn('status', array_filter($statuses, 'is_string'));
})
->when(request('type'), function ($q, $types) {
return $q->whereIn('type', array_filter($types, 'is_string'));
})
->get();
注意点：
-
when()第二个参数函数里，$statuses是原始 GET 值，仍需清洗，不能直接塞进whereIn - 如果验证已走
validated()，这里应改用request()->validated('status')获取清洗后结果 -
when()不会阻止后续查询执行，只是跳过该条件，所以不会因空数组触发 SQL 错误
user_id[]），而后端验证规则写成 'user-id.*'（用了短横线）——规则名必须和 URL 参数名完全一致，否则 validated() 返回空数组，后面全白忙。 
