CodeIgniter 4模型写入时强制校验$allowedFields，若为空数组或未定义，则静默拒绝所有字段写入，返回false；这是基于白名单的安全设计，非配置疏漏即为全拦截。
allowedFields 为空数组或未定义时，模型拒绝写入任何字段
CodeIgniter 4 的模型（Model 类）在执行 insert()、update()、save() 等写操作前，会强制校验待写入字段是否在 $allowedFields 列表中。如果该属性是空数组（[]）或根本未声明，框架会认为“没有字段被允许”，于是静默丢弃全部数据 —— 不报错、不抛异常、不写入数据库，只返回 false 或空结果。
为什么不是“全字段放行”，而是“全拦截”
这是 CI4 的安全设计原则：白名单机制优先。与 CI3 的宽松模式不同，CI4 默认不信任任意键名的 POST 数据，必须显式声明哪些字段可被批量赋值。哪怕数据库表里有 20 个字段，只要 $allowedFields 是空的，$model->insert(['name' => 'a', 'email' => 'b']) 也会什么也不写。
-
$allowedFields = []→ 所有字段被过滤，insert()返回false -
未定义 $allowedFields→ 等价于[]，行为一致 -
$allowedFields = null→ PHP 层报TypeError（因类型声明要求 array）
常见误判场景和调试线索
你可能以为“没填就是不限制”，但实际表现是“写不进库还找不到原因”。典型症状包括：
- 调用
$model->insert($data)后返回false，但$model->errors()为空 - 数据库无新增记录，日志也无 SQL 输出（因为连 SQL 都没生成）
-
print_r($model->getCompiledInsert())显示INSERT INTO `table` () VALUES ()—— 字段和值都为空
此时第一反应不该是查数据库权限或连接，而是立刻检查模型类中 $allowedFields 是否漏写或写成了空数组。
正确写法与最小安全实践
不要靠“不写”来绕过配置；明确列出业务真正需要写入的字段。例如用户注册只需存用户名和邮箱：
protected $allowedFields = ['username', 'email'];
若字段名来自动态拼接或需运行时判断，必须手动构造数据子集，再传给 insert()：
$safe_data = array_intersect_key($post_data, array_flip($this->allowedFields));
别试图用 $model->skipValidation()->insert($data) 绕过 —— 这跳过的只是验证逻辑，$allowedFields 校验仍在底层执行，无效。
最易被忽略的一点：继承自 Model 的子类，即使父类已定义 $allowedFields，子类若重写该属性为 [] 或未声明，就立即失效。CI4 不做合并，只认当前类的定义。
