ThinkPHP 的 saveAll 方法不会自动过滤模型不存在字段，需通过 $allowField 白名单、only()/except() 手动过滤或 getSchemaFields() 获取真实字段来安全处理；建议配合验证和 Db::transaction 保证批量写入一致性。
ThinkPHP 的 saveAll 方法本身不会自动过滤模型中不存在的字段，如果传入了数据库表里没有的字段（比如前端多传了参数），默认会抛出异常或静默忽略（取决于版本和配置），但更常见的是导致 SQL 错误或数据写入失败。要安全地过滤掉不存在的字段，核心思路是：**在调用 saveAll 前，先对数据进行白名单校验或字段映射清理**。
明确模型的可写字段（推荐）
在模型类中定义 $allowField 属性，它会作为白名单控制哪些字段允许写入：
class User extends Model
{
protected $allowField = ['name', 'email', 'status', 'create_time'];
}
这样即使你传入
['name' => 'A', 'email' => 'a@b.c', 'token' => 'xxx']</p> <p>调用 <code>User::saveAll($data)时，
token 字段会被自动过滤，不会参与 SQL 构建。
立即学习“PHP免费学习笔记（深入）”；
手动过滤再传入 saveAll
如果你无法修改模型，或需要动态控制字段（比如不同接口权限不同），可以在调用前用 only() 或 except() 显式筛选：
- 使用
only()白名单过滤（更安全）：
$allowed = ['name', 'email', 'status'];
$data = array_map(function($item) use ($allowed) {
return array_intersect_key($item, array_flip($allowed));
}, $dataList);
User::saveAll($data);
- 或者用模型的
getSchemaFields()获取真实字段（TP6.1+）：
$realFields = (new User())->getSchemaFields();
$data = array_map(function($item) use ($realFields) {
return array_intersect_key($item, array_flip($realFields));
}, $dataList);
注意批量保存时的验证与事务
saveAll 默认不开启事务，若部分数据非法可能导致写入不一致。建议配合验证和手动事务：
- 先用
validate(true)批量验证（需模型启用验证规则） - 包裹在
Db::transaction()中确保原子性 - 捕获
ValidateException或PDOException做错误处理
TP5.1 / TP6 兼容提示
TP5.1 中 saveAll 是静态方法，TP6 支持静态和实例方式；$allowField 在两个版本都有效，但 TP6 更严格，默认开启字段检测。若发现字段被忽略却没报错，检查是否开启了 'db_fields_strict' => true（TP6 默认开启）。
