ThinkPHP6+中redirect()跳转需严格遵循参数顺序、中文URL编码和敏感数据闪存三原则：$url、$params、$code（仅301/302）、$withPrefix；中文必须urlencode()或用url()封装；订单号等敏感参数须存session闪存而非URL。
ThinkPHP 的 redirect() 带参数跳转，核心不是“能不能传”，而是“怎么传才不丢、不乱、不暴露、不报错”——尤其在 TP6+ 中，参数顺序和语义已和老版本明显不同，踩坑多集中在误用 $params 位置、中文未编码、敏感数据明文上 URL 这三处。
TP6+ 中 redirect() 参数顺序必须对齐：$url、$params、$code、$withPrefix
常见错误是把延时值（如 3）当状态码传进第 3 位，结果触发了 303 或 404 跳转异常。TP6+ 已移除 delay 作为参数的支持，$code 只接受 HTTP 状态码（301、302），默认就是 302，一般不用显式写。
-
redirect('user/profile', ['id' => 123])✅ 安全常用，等价于redirect('user/profile', [], 302, false) -
redirect('user/profile', ['id' => 123], 301)✅ 永久重定向，适合 SEO 场景 -
redirect('user/profile', ['id' => 123], 3)❌ 把3当作状态码，实际发的是 303，多数浏览器会拒绝跳转或行为异常 -
redirect('user/profile', ['id' => 123], 302, true)✅ 显式启用路由前缀（如带index.php），仅在非标准入口时需要
中文或特殊字符参数必须 urlencode()，不能直接塞进 $params
http_build_query() 在底层拼接 query string 时默认不处理 UTF-8，遇到中文会变成乱码或截断，最终路由匹配失败或参数为空。
- 错误写法：
redirect('search/index', ['q' => 'ThinkPHP教程'])→ URL 变成/search/index?q=ThinkPHP%E6%95%99%E7%A8%8B？不，实际可能变成/search/index?q=（空值） - 正确写法：
redirect('search/index', ['q' => urlencode('ThinkPHP教程')])✅ - 更稳妥方式（推荐）：
redirect(url('search/index', ['q' => 'ThinkPHP教程']))，因为url()内部已自动做 urlencode
敏感参数别走 URL，改用 session 闪存（flash）
订单号、金额、用户 ID 等一旦出现在跳转 URL 中，就会留在浏览器历史、服务端 access log、代理缓存里，极易被泄露或重放。这不是 redirect 的 bug，是设计误用。
立即学习“PHP免费学习笔记（深入）”；
- 危险示例：
redirect('order/pay', ['order_no' => 'ORD20260501XXX', 'amount' => '99.00'])→ 地址栏直接可见 - 安全做法：
session('pay_data', ['order_no' => 'ORD20260501XXX', 'amount' => 99.00]); return redirect(url('order/confirm')); - 在
OrderController@confirm中立即读取并清空：$data = session('pay_data'); session('pay_data', null); // 必须主动置 null，否则下次请求还能读到 - 注意：闪存只对下一次请求有效，且不跨设备、不持久，比普通 session 更合适临时跳转场景
跨模块/分组跳转不要拼路径，用字符串地址即可
很多人担心 'admin/user/edit' 不生效，其实 ThinkPHP 会自动按 模块/控制器/操作 解析，不需要加斜杠前缀或写完整命名空间。
-
redirect('admin/user/edit')✅ 自动识别为 Admin 模块下的 User 控制器 edit 操作 -
redirect('Admin/User/edit')❌ 大小写敏感，且 TP6 默认路由不认驼峰格式，容易 404 -
redirect('/admin/user/edit')❌ 开头的/会被当成绝对路径处理，绕过路由解析，大概率 404 - 如果用了自定义路由规则（如
Route::get('manage/users', 'admin.user/index')），就该用规则名：redirect('manage/users')
最常被忽略的一点：redirect() 是个返回 Response 对象的操作，**它之后不能再执行任何逻辑输出或 session 写入**——比如 redirect 后还调 session('msg', 'ok')，这个值很可能在跳转目标页里读不到，因为响应已发出。真要传提示，统一走 flash；真要留痕，记日志或 DB，别依赖 redirect 后的代码执行。
