命令行请求不走HTTP生命周期，input()和param()无效，需手动解析$_SERVER['argv']并过滤；推荐用array_slice+explode+array_map清洗参数，再传给Validate::filter()校验。
命令行请求（think 命令）不走 HTTP 请求生命周期，input()、param()、中间件、路由 method 校验全都不生效——想对它做参数过滤，必须绕开框架的 Request 对象，直接处理 $argv 或 $input 原始输入。
为什么 input() 在命令行里拿不到参数
ThinkPHP 的 input() 函数底层依赖 Request 实例，而命令行模式下 Request 不会解析 $argv，也不会自动把 --name=xxx 映射成键值对。它只读 $_GET/$_POST 等超全局变量，而 CLI 下这些为空。
-
input('name')返回空字符串或默认值，不是你传的--name=jack -
$this->request->param()同样返回空数组 - 所有基于
Request::filter()的机制（包括default_filter配置）完全不触发
如何在命令行中手动提取并过滤参数（完整可运行代码）
推荐在自定义命令类的 handle() 方法开头，用 parse_str() + array_map() 手动解析并清洗 $argv。以下为完整示例：
php
<?php
namespace app\command;
use think\console\Command;
use think\console\Input;
use think\console\Output;
class UserImport extends Command
{
protected function configure()
{
$this->setName('user:import')
->setDescription('导入用户数据');
}
protected function execute(Input $input, Output $output)
{
// 1. 获取原始 argv（跳过脚本名和命令名）
$rawArgs = array_slice($_SERVER['argv'], 2);
// 2. 转成 key=>value 形式：['--file=/tmp/data.csv', '--format=json'] → ['file' => '/tmp/data.csv', 'format' => 'json']
$args = [];
foreach ($rawArgs as $arg) {
if (str_starts_with($arg, '--')) {
[$key, $val] = array_pad(explode('=', $arg, 2), 2, '');
$key = ltrim($key, '-');
$args[$key] = $val;
}
}
// 3. 批量过滤：仅对字符串字段做 trim + htmlspecialchars（避免 XSS 注入到日志或输出）
$cleaned = array_map(function ($v) {
return is_string($v) ? htmlspecialchars(trim($v), ENT_QUOTES, 'UTF-8') : $v;
}, $args);
// 4. 使用 cleaned 参数（注意：这里不能用 input('file')！）
$file = $cleaned['file'] ?? '';
$format = $cleaned['format'] ?? 'csv';
$output->writeln("处理文件：<code>{$file}</code>，格式：<code>{$format}</code>");
}
}
- 不要用
input('file')，它在 CLI 下无效；必须自己解析$_SERVER['argv'] -
htmlspecialchars()对路径类参数（如--file）通常没必要，但若该值后续会 echo 到 HTML 日志页或生成报告，就得加 - 如果参数含 JSON 或 Base64，别在过滤阶段 decode，应留到业务逻辑里按需处理
验证器里怎么让命令行参数也走 filter 规则
ThinkPHP 的 Validate 类默认也不识别 CLI 参数，但你可以把清洗后的 $cleaned 数组传给验证器，并显式启用 filter：
立即学习“PHP免费学习笔记（深入）”；
php
$rule = [
'file|文件路径' => 'require|regex:/^\/[^\0]+$/',
'format|格式' => 'in:csv,json,xml',
];
// 注意：必须 new 实例并调用 check()，静态 validate() 不触发 filter
$result = (new \think\Validate())->rule($rule)->filter(['htmlspecialchars', 'trim'])->check($cleaned);
if (!$result) {
$output->error('参数校验失败：' . implode(',', (new \think\Validate())->getError()));
return 1;
}
-
filter()方法只在check($data)时生效，且只作用于当前验证的数据副本，不影响原始$cleaned - 验证器中的
filter不会自动应用到嵌套字段（如user.name），CLI 场景建议扁平化参数结构 - 别在验证规则里写
filter:htmlspecialchars字符串——CLI 下验证器不解析该语法，要用filter([...])方法链
命令行参数过滤最易被忽略的一点：它和 HTTP 请求完全隔离，没有共享的 Request 生命周期，所有过滤逻辑都得手动初始化、手动传递、手动校验。靠“统一入口”幻想一次配置处处生效，在 CLI 场景下注定失败。
