ThinkPHP的request对象不验证参数来源，需主动区分：用get()、post()、php://input分别获取GET、POST、JSON数据，结合header判断Content-Type，按来源隔离验证，禁用param()统一取值。
ThinkPHP 的 request 对象本身不验证参数来源，它只负责「取」——而是否可信、从哪来、该不该信，得靠你主动区分和约束。
怎么判断参数来自 GET、POST 还是 JSON？
不能只靠 $this->request->param() 一锅端，它会合并 GET、POST、路由变量，还自动类型转换，掩盖真实来源。要验来源，必须拆开看：
-
$this->request->get()只读$_GET，适合校验 URL 查询参数（如分页、筛选） -
$this->request->post()只读$_POST，适合传统表单提交，字段未提交时返回空字符串，语义清晰 -
file_get_contents('php://input')是唯一可靠读取原始 JSON 请求体的方式；$this->request->param()在Content-Type: application/json下可能为空或解析失败 - 用
$this->request->header('content-type')判断请求类型，再决定走哪条路径，别猜
为什么 param() 不能直接用于来源验证？
$this->request->param() 是个「融合器」：它把 $_GET、$_POST、路由变量甚至 php://input（取决于配置）全混在一起，还做 trim、intval 等隐式转换。后果很实际：
- 前端发 JSON：
{"name":"a"}，但param('name')返回null或空字符串（因未触发 JSON 解析逻辑） - URL 带
?id=123，路由又定义了'user/:id'，param('id')拿到的是路由匹配值而非查询参数，你以为在验 URL，其实验的是路由 - POST 表单字段没传，
param('email')返回null，而post('email')返回''—— null 和空字符串在校验逻辑里行为完全不同
如何按来源分别验证并避免混用？
关键不是「统一验证」，而是「按源隔离验证」。例如一个接口既要支持表单提交又要支持 JSON：
立即学习“PHP免费学习笔记（深入）”；
- 先用
$this->request->header('content-type')判断：strpos($type, 'application/json') !== false - 是 JSON：用
json_decode(file_get_contents('php://input'), true) ?: []解析，再传给Validate::make($rules, $json)，禁用input()相关调用 - 是表单：
$data = $this->request->post()，然后(new UserValidate())->check($data) - 绝对不要把
$json和$_POST合并传给验证器，否则 JSON 请求下$_POST为空，反而让验证器「以为」字段缺失是合法的 - 自定义规则里访问字段，必须用传入的数组（如
$data['name']），别调input('name')—— 它查的是全局上下文，不是你刚解析出来的数据
场景化验证时怎么绑定来源？
场景（$scene）只控制字段白名单和规则叠加，不感知来源。所以必须在调用前就确定数据源：
- JSON 场景：
Validate::make($rules, $json)->scene('create')->batch()->check() - 表单编辑场景：
(new UserValidate())->scene('edit')->check($this->request->post()) - 混合入口（如同时支持 query 分页 + body 数据）：手动拼数组，比如
array_merge($this->request->get(['page', 'limit']), $this->request->post())，但得清楚哪些字段允许被 query 覆盖 - 注意：场景名大小写敏感，且
scene()必须显式调用才生效，不会自动识别请求方式
最易被忽略的一点：验证器规则里的 :confirm、:in 等依赖字段，如果字段来自不同来源（比如 password 来自 POST，confirm_password 来自 JSON），它们根本不在同一个数组里，校验必然失效。来源隔离不是可选项，是前提条件。
