Request::only不支持默认值参数，仅接受字段名数组或字符串及来源类型；需用param()/get()/post()设默认值，或手动array_merge；指定来源可隔离数据源；except非only反向操作；TP6验证器only与Request::only无关；only返回未过滤数据，有XSS风险。
Request::only 会忽略默认值参数，除非你重写方法
直接调用 Request::only(['user_id' => 0]) 在多数 ThinkPHP 5.x 版本中**不会生效**——框架原生的 only 方法不支持键值对形式的默认值语法。它只接受字段名数组或字符串，第二参数仅控制来源（如 'get'、'post'），不处理默认值回退逻辑。
常见错误现象：dump(Request::only(['id' => 1])); 输出空数组或 null，而非 ['id' => 1]；request()->only(['name']) 在参数不存在时返回空，不是你想设的默认值。
- 真正起作用的默认值逻辑，得靠
param()、get()、post()等具体方法：比如Request::param('id', 0)或Request::post('name', 'guest') - 如果坚持用
only()做“取字段 + 设默认值”，必须手动补全：array_merge(['id' => 0, 'name' => ''], Request::only(['id', 'name'])) - 某些旧项目里有人改过
thinkphp/library/think/Request.php的only方法，加了默认值支持，但这属于非标准修改，升级框架时极易被覆盖
指定请求类型（GET/POST）时，only 才真正隔离数据源
Request::only(['id', 'name']) 默认行为是混合获取：param 类型变量 = 路由变量 + GET + POST（路由优先），容易造成意料外的数据覆盖。比如 URL 是 /user/123?name=abc，同时 POST 提交了 name=def，only(['name']) 可能返回 def（取决于框架版本和 param 合并策略）。
想严格限定来源，必须显式传入第二参数：
立即学习“PHP免费学习笔记（深入）”；
-
Request::only(['id', 'name'], 'get')→ 只从$_GET取，忽略 POST 和路由 -
Request::only(['token'], 'post')→ 只从$_POST取，适合表单提交场景 -
Request::only(['id'], 'route')→ 只从 PATHINFO 路由段取（如/user/123中的123），但注意：不是所有版本都支持'route'作为 type 参数，TP5.0+ 支持，TP6 需确认是否启用路由变量自动注入
except 和 only 不是对称操作，别混用逻辑
Request::except(['id']) 表示“排除 id 字段后返回其余所有参数”，但它**不保证返回全部原始参数**——实际行为依赖于当前请求类型（param/get/post）以及是否启用了全局过滤。而 only 是白名单，except 是黑名单，二者底层调用的过滤逻辑路径不同。
典型陷阱：
- 执行
Request::only(['a','b'])返回['a'=>1]（b缺失），再对结果except(['a'])，得到[]，不是原始请求中除a外的所有字段 -
except不支持第二参数指定来源（如except(..., 'post')在部分 TP5 版本中会静默失败或报错），文档未明确说明兼容性，实测 TP5.1.38+ 支持，但 TP5.0.x 多数不支持 - 若需“取全部参数但过滤掉敏感字段”，更稳妥的是先
Request::param()再用 PHP 数组函数处理，而不是依赖except
TP6 中 only 与验证规则里的 only 完全无关
看到文档里有 validate()->scene('edit')->only(['name', 'email'])，别以为这是同一个 only。验证器中的 only 是场景规则白名单，控制哪些字段参与校验；而 Request::only 是纯数据提取方法，两者作用域、实现类、调用时机都不同。
混淆后果：
- 在控制器里写
$data = Request::only(['name']); $validate->scene('edit')->check($data);—— 这没问题 - 但若写成
$validate->scene('edit')->only(['name'])->check(Request::param());—— 这里的only是验证器链式方法，不影响Request::param()的取值范围 - 验证器
only不会改变请求对象状态，也不会触发任何 Request 层过滤；它只是校验时跳过未声明字段，哪怕这些字段真实存在于请求中
最易被忽略的一点：Request::only 返回的是原始（未经过滤）数据，而 param() / get() 等方法默认应用全局过滤规则（如 htmlspecialchars）。如果你用 only 取值后直接输出到页面，XSS 风险比用 param 高得多。
