在 ThinkPHP 的面试中，请求对象 Request 的参数获取与过滤是高频考点。无论是初中级开发岗位，还是高级架构岗位，面试官都希望通过这一问题考察你对框架底层设计的理解、对安全问题的敏感度，以及在实际项目中处理用户输入的能力。本文将从参数获取方式、过滤机制、安全实践三个维度展开，帮助你系统掌握这一知识点。
一、为什么 Request 对象如此重要？
在 MVC 架构中，Request 对象是连接用户输入与业务逻辑的桥梁。ThinkPHP 从 5.0 版本开始引入 think\Request 类，到 6.0 和 8.0 版本进一步强化了依赖注入与门面模式的支持。面试官常问：“你平时怎么获取请求参数？”看似简单，实则考察你对不同场景下最优解的选择。
二、参数获取的多种方式
1. 通过 Request 实例方法获取
最基础的方式是注入或实例化 Request 对象：
public function index(Request $request)
{
$name = $request->param('name');
$id = $request->get('id');
$data = $request->post('data');
}
param()：智能获取，合并了 GET、POST、PUT 等参数，优先级可配置。get()、post()、put()、delete()：分别对应不同 HTTP 方法。route()：获取路由参数。server()、header()、cookie()、session()：获取其他环境变量。
面试加分点：param() 方法默认会合并所有类型的参数，但可以通过配置 param_type 调整优先级。在 RESTful API 中，建议明确使用 get() 或 post() 以避免歧义。
2. 使用助手函数
ThinkPHP 提供了简洁的助手函数：
$name = input('name');
$id = input('get.id');
$data = input('post.data');
助手函数底层调用的是 Request 对象，适合在控制器外或快速原型开发中使用。
3. 依赖注入与门面模式
在控制器方法中直接注入 Request 是最推荐的方式，便于单元测试。也可以使用 facade\Request 门面：
use think\facade\Request;
$name = Request::param('name');
4. 获取全部参数
$all = $request->param(); // 获取所有参数数组
$only = $request->only(['name', 'age']); // 只获取指定字段
$except = $request->except(['password']); // 排除敏感字段
only() 和 except() 在批量赋值场景中非常实用，能有效防止脏数据注入。
三、参数过滤与安全机制
1. 内置过滤方法
ThinkPHP 的 Request 对象提供了 filter() 方法，支持多种过滤规则：
$name = $request->param('name', '', 'htmlspecialchars');
$age = $request->param('age', 0, 'intval');
$email = $request->param('email', '', 'trim,strtolower');
也可以全局配置默认过滤规则，在 config/app.php 中设置：
'default_filter' => 'htmlspecialchars',
面试高频问题：htmlspecialchars 和 htmlentities 的区别？前者只转义 HTML 特殊字符，后者转义所有具有实体意义的字符。在 XSS 防护中，htmlspecialchars 配合正确的字符集通常足够。
2. 类型转换与强制转换
$id = $request->param('id/d'); // 强制转为整数
$price = $request->param('price/f'); // 强制转为浮点数
$isActive = $request->param('active/b'); // 强制转为布尔值
$tags = $request->param('tags/a'); // 强制转为数组
类型转换不仅简化代码，还能避免 SQL 注入和类型混淆漏洞。面试中常问：“如何防止 ID 参数被注入？”答案就是使用 /d 强制转换。
3. 验证器与场景验证
参数过滤的更高层次是使用验证器：
$validate = new \think\Validate([
'name' => 'require|max:25',
'email' => 'email',
]);
if (!$validate->check($request->param())) {
return json(['error' => $validate->getError()]);
}
在 ThinkPHP 6+ 中，推荐使用验证器类或注解验证，将过滤与业务逻辑分离。
四、常见面试题与陷阱
问题 1：param() 和 get() 有什么区别？
答：param() 是合并获取，优先级可配置；get() 仅获取 GET 参数。在 RESTful 中应明确来源。
问题 2：如何防止 XSS 攻击？
答：输入过滤使用 htmlspecialchars，输出转义使用模板引擎的自动转义，或使用 htmlspecialchars 手动处理。
问题 3：request()->param() 和 input() 性能差异？
答：助手函数有额外函数调用开销，但在现代 PHP 中差异可忽略。推荐在控制器中使用依赖注入。
问题 4：如何获取 JSON 请求体？
答：$request->post() 在 Content-Type 为 application/json 时也能获取，或使用 $request->getContent() 获取原始数据。
问题 5：filter() 方法支持闭包吗？
答：支持。可以传入自定义闭包进行复杂过滤。
五、最佳实践总结
- 明确参数来源：RESTful API 中区分 GET、POST、PUT，避免全部依赖
param()。 - 强制类型转换：对 ID、价格等使用
/d、/f，减少验证负担。 - 白名单机制：使用
only()获取必要字段，拒绝批量赋值漏洞。 - 全局过滤 + 局部验证：配置
default_filter作为兜底，验证器处理业务规则。 - 输出转义：输入过滤不能替代输出转义，模板中始终使用
{$var|htmlspecialchars}或框架自动转义。 - 敏感操作二次确认：删除、修改密码等操作，即使参数已过滤，也应在业务层再次校验权限。
结语
ThinkPHP 的 Request 对象设计体现了“简单而不失灵活”的哲学。面试中，面试官不仅想知道你会不会用 param()，更想了解你是否理解其背后的安全考量与设计取舍。掌握参数获取的多种方式、过滤机制的分层设计，以及实际项目中的最佳实践，你就能在面试中脱颖而出。建议结合官方文档与源码阅读，深入理解 Request 类的实现，这将是你在 PHP 面试中的一大加分项。
未经允许不得转载：任鹏个人博客 » ThinkPHP 面试精讲：请求对象 Request 的参数获取与过滤
