$_POST为空是因Content-Type非application/x-www-form-urlencoded或multipart/form-data，如JSON提交时需用file_get_contents('php://input')读取原始数据再json_decode解析。
$_POST 是 PHP 的一个超全局变量，它不是“自定义变量”，也不是运行时手动创建的——它是 PHP 在接收到 HTTP POST 请求后，自动解析请求体中 application/x-www-form-urlencoded 或 multipart/form-data 类型数据，并填充好的关联数组。
它只在当前请求是 POST 方法、且 Content-Type 匹配上述两种格式时才有值；其他情况（比如 JSON 提交、GET 请求、空表单提交）它可能为空、未定义，或根本不会被填充。
为什么 $_POST 有时是空的？
这不是代码写错了，而是常见误解导致的：
- 前端用 fetch 或 axios 发送了 Content-Type: application/json，但 PHP 不会自动解析 JSON 到 $_POST
- 表单 method 写成了 get，或漏写 method="post"，浏览器实际发的是 GET
- post_max_size 或 max_input_vars 超限，PHP 直接丢弃整个 POST 数据（$_POST 变为空数组）
- Nginx/Apache 配置了请求体大小限制（如 client_max_body_size），请求被截断或拒绝
- 表单字段没有 name 属性（例如 <input type="text"> 缺 name），该字段不会进入 $_POST
$_POST 和 file_get_contents('php://input') 的区别
这是最常混淆的一对：
- $_POST 是 PHP 解析后的数组，仅适用于 application/x-www-form-urlencoded 和 multipart/form-data
- php://input 是原始请求体流，可用于读取任意格式（包括 JSON、XML、纯文本），但不能用于 multipart/form-data（此时它为空，因为文件上传已由 PHP 内部接管）
- 如果你发的是 JSON：$_POST 必为空，必须用 file_get_contents('php://input') + json_decode()
- 如果你发的是表单+文件：$_POST 有普通字段，$_FILES 有文件信息，php://input 不可用
安全使用 $_POST 的三个必要动作
直接 echo $_POST['xxx'] 或存入数据库是危险的：
- 总是先检查键是否存在：isset($_POST['email']) 或用空合并操作符：$_POST['email'] ?? ''
- 对输出到 HTML 的内容做转义：htmlspecialchars($_POST['name'], ENT_QUOTES, 'UTF-8')
- 对输入做过滤或验证：filter_var($_POST['email'], FILTER_VALIDATE_EMAIL)，而不是只依赖前端校验
真正容易被忽略的点是：PHP 不会帮你判断“这个 POST 请求是不是来自你自己的表单”。CSRF、重复提交、伪造请求体——这些都得靠额外机制（如 token、幂等性设计、签名）来防御，$_POST 本身不提供任何保护。
