必须用pattern()显式约束，仅写:id或{id}不会自动校验数字；ThinkPHP默认匹配任意字符串，不加约束易致类型错误或SQL注入，正确写法为->pattern(['id' => '\d+'])或内联{id:\d+}。
必须用 pattern() 显式约束，只写 :id 或 {id} 不会自动校验数字
ThinkPHP 对路由参数默认不做类型检查，:id 会匹配任意字符串（比如 123abc 或 hello），不加约束就直接进控制器，极易引发类型转换错误或 SQL 注入。
以下几种写法都无效：
-
Route::get('user/:id', 'User/read')—— 没有pattern()，$id可能是任意字符串 -
Route::get('user/:id\d', 'User/read')—— TP6 不支持这种后缀语法（那是 TP5.0 的旧写法，已废弃） -
->pattern(['id' => '^\d+$'])——^和$被框架忽略，正则不生效
正确写法：用 pattern() 传纯规则片段
TP6 要求正则只写核心匹配部分，不能带锚点、分组或完整 PCRE 修饰符。数字约束必须写成 '\d+' 或 [0-9]+：
立即学习“PHP免费学习笔记（深入）”；
Skill Weave Chains — 技能链路由引擎
下载
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
Route::get('user/{id}', 'User/read')->pattern(['id' => '\d+']);
// 或内联写法（TP6.1+）
Route::get('user/{id:\d+}', 'User/read');
关键点：
- 数组 key
'id'必须和占位符名{id}完全一致，大小写敏感 -
'\d+'是唯一推荐写法；[0-9]+等价但可读性差；\d{1,8}可限制位数 - 如果用了多个参数，每个都要单独声明：
->pattern(['id' => '\d+', 'status' => '[01]'])
为什么 url() 生成的链接里参数没被识别
调用 url('user/{id}', ['id' => 123]) 却生成 /user/（空值），通常是因为：
- 路由定义中是
{uid}，但url()传了['id' => 123]—— 键名不匹配 - 用了命名路由但没对齐：
->name('user.show')，却写url('user.index', ['id' => 123]) - 参数名在闭包路由中不一致：
Route::get('user/{id}', function ($uid) { ... })，$uid和{id}名字不同，注入失败
数字约束失效的隐藏坑：中文或特殊字符混入
即使加了 '\d+'，如果 URL 实际是 /user/123%EF%BC%91（全角数字编码），或前端拼错了路径如 /user/123/（多了一个斜杠），TP6 会直接 404，根本不会走到 pattern() 校验那步。
所以真正安全的做法是：
- 前端确保 URL 路径段只含 ASCII 数字
- 后端控制器方法仍要做兜底判断：
if (!is_numeric($id) || $id - 数据库查询前强制转整型：
(int) $id，别依赖框架“已经校验过了”
pattern() 是第一道过滤，不是最后一道保险。漏掉它，非法输入会直达业务逻辑；只靠它，依然挡不住编码绕过或路径截断类问题。
