验证器“不生效”主因是校验未触发，需检查三处：场景是否显式启用（如validate('ArticleValidate.edit')）、批次模式是否匹配（batch(true)时用getFailMsg()而非getError()）、validate调用位置是否合理（避免权限判断后才验证，路由变量需手动提取）。
验证器“不生效”多数不是规则写错了，而是校验根本没跑起来。关键得看三个地方：场景有没有指定、批次模式是否匹配、以及 validate 调用的位置对不对。
场景必须显式启用，否则白写
验证器里定义了 $scene = ['edit' => ['id', 'title']]，不代表它会自动按 edit 场景运行。控制器里如果只写 $this->validate($data, 'ArticleValidate')，框架就默认走全部字段规则，而你的 $rule 里可能压根没配全所有字段，结果部分字段就漏检了。
- 调用时必须带场景名：
validate('ArticleValidate.edit')（TP6.0+ 推荐）或validate('ArticleValidate', 'edit') - 场景名大小写敏感，
'Edit'和'edit'是两个不同场景 - 如果场景名拼错，框架会静默回退到默认规则，容易误判为“没生效”
- 每次调用前建议加
$validate->removeError()，避免上一次的错误残留干扰
批次模式影响错误获取方式
getError() 默认只返回第一条错误字符串，且不带字段名。如果你开了 batch(true) 却还用 getError()，大概率看到空值或错乱提示——因为批量模式下错误存放在另一个结构里。
- 要拿全部字段级错误，必须用
$validate->batch(true)->check($data)后调getFailMsg() -
getFailMsg()返回的是['email' => '邮箱格式不对', 'password' => '长度不够']这样的关联数组 - 手动验证时别漏掉
batch(false)，否则getError()可能不更新 - 调试时可直接 dump：
dump($validate->getRule(), $validate->getMessage())，对比实际提交的$data键名是否完全一致
validate 调用位置决定校验时机
在 ThinkPHP 8.0.3 中，验证默认发生在控制器方法执行之后，而不是请求一进来就做。这意味着：如果你在验证前写了权限判断（比如 if ($user->is_admin)），攻击者可能传个非法 id 直接触发越权查询——因为验证还没开始。
立即学习“PHP免费学习笔记（深入）”；
- 路由变量（如
/:id）默认不进$request->param()，验证器看不到，得手动提取：$id = $this->request->route('id')，再喂给validate()->check(['id' => $id]) - 别在构造函数里注入
Validate实例，它不会自动校验，只是个空壳 - 想前置校验，应在路由定义中绑定：
Route::get('user/:id', 'index')->validate(['id' => 'require|number'])，或注册validate中间件 - 依赖注入容器不识别验证语义，
validate不是靠类型提示触发的，必须显式调用
