原生PHP表单验证易漏防护点，ThinkPHP8通过强制验证器、结构化规则、自动过滤与安全输出提升安全性。
原生PHP表单验证靠手写判断，容易漏掉关键防护点
原生PHP处理表单提交时，开发者需手动对每个字段写if判断，比如检查$_POST['email']是否为空、是否符合邮箱格式、是否已存在于数据库——这些逻辑全靠自己组织，稍有疏忽就会跳过SQL注入过滤或XSS转义。
直接用$_POST['email']拼SQL查询是典型错误，既没做trim()去首尾空格，也没用PDO预处理或mysql_real_escape_string()，数据库层立刻暴露风险。
输出错误提示时若写echo $_GET['msg']，攻击者就能通过URL传入<script>标签实现XSS，而你根本没意识到需要htmlspecialchars()包裹。</script>
密码存库若用md5($_POST['pwd'])，连基础的加盐都没有，撞库工具几秒就能跑出明文。
立即学习“PHP免费学习笔记（深入）”；
ThinkPHP8强制走验证器通道，规则与执行分离
ThinkPHP8要求所有表单数据必须经过验证器校验，且验证动作不能自动触发，必须显式调用check()方法——【不执行check()等于没验证】。
生成验证器只能用命令行：php think make:validate UserValidate，手动建文件会因命名空间或strict_types缺失导致Class not found。
规则定义里'email' => 'require|email|unique:user,email'这一行就同时完成非空校验、格式校验、唯一性校验，底层自动用参数化查询防注入，不用你碰PDO。
验证失败时getError()返回结构化数组，不是零散echo，方便前端统一解析；成功后数据自动过滤并转义，视图中{:input('email')}直接输出即安全。
唯一性验证在更新场景下行为截然不同
原生PHP更新用户邮箱时，你要自己写SQL查“SELECT COUNT(*) FROM user WHERE email = ? AND id != ?”，漏掉AND id != ?就会把当前记录也纳入比对，导致改个邮箱总报重复。
ThinkPHP8的unique规则默认包含当前记录，必须显式排除：TP8推荐写法是['unique' => 'user,email,id^' . $id]，【id^123中的^符号不可省略，否则语法解析失败】。
如果主键叫user_id而非id，TP8写法必须同步改成'user_id^' . $this->user_id，硬编码成id^123会导致WHERE条件错配，查不到数据却误判为“可用”。
联合唯一（如部门+邮箱）无法用unique字符串规则解决，必须切到callback方式：'email' => ['callback' => function($val) use ($dept_id, $id) { return Db::name('user')->where('email', $val)->where('dept_id', $dept_id)->where('id', '', $id)->count() === 0; }]。
正则规则从自由书写变为严格约束
原生PHP里preg_match('/^1[3-9]\d{9}$/', $_POST['mobile'])想怎么写就怎么写，分隔符、修饰符、转义全由你定。
ThinkPHP8废弃了这种原始正则写法，统一要求用regex:前缀：'mobile' => 'require|regex:^1[3-9]\d{9}$'，【漏掉开头的^或结尾的$会导致部分匹配，比如13812345678abc也能过】。
空值默认跳过regex校验，所以必须加require前缀，否则用户提交空手机号，验证器直接放行。
TP8还禁用命名捕获组(?P
验证码校验体现设计哲学差异
原生PHP做验证码，通常把随机码存在$_SESSION['captcha']，用户提交后比对完不清除，导致一次验证码可重复使用多次，甚至被暴力遍历。
ThinkPHP8的Captcha::check()内部做完比对立刻清除缓存，且强制要求前端传入独立key（如captcha_5f9a3b），避免session被劫持后复用。
API模式下返回base64图片和key两字段，后端用cache($key)取值比对，比对成功后立即执行cache($key, null)，【这一步删除操作不可跳过，否则重放攻击成立】。
配置项'useZh'=>true开启中文验证码时，必须同时提供zhset字符串和fontttf字体路径，缺一不可，否则生成图片失败且无明确报错。
