ThinkPHP6.0验证器怎么写_ThinkPHP6.0数据验证器教程【验证】

说到ThinkPHP 6.0的验证器，很多开发者都踩过同一个坑——图省事直接传个规则数组，结果后面场景复用、自定义规则全都没法用，回头还得重写。其实验证器在TP6里是个独立的类，把它当成一个普通数组来用，就等于主动放弃了框架提供的一整套能力。下面把这些容易搞混的细节拆开说清楚。

验证器必须是类而非规则数组，以支持场景、消息复用和自定义规则；需继承thinkValidate，命名与路径一致；$rule与$message键名严格对应；验证码、数组字段、场景验证须在类内实现；控制器中应实例化验证器并显式调用check()。

验证器必须写成类，不能只传规则数组；否则丢失场景、消息复用、自定义规则等关键能力。

验证器类怎么生成和存放

用命令行生成是最省事的，路径和命名会自动对齐命名空间，不用手动折腾目录结构：

• php think make:validate User → 生成 app/validate/User.php
• php think make:validate admin/User → 生成 app/validate/admin/User.php
• php think make:validate admin@User → 生成 app/admin/validate/User.php

手动创建也不是不行，但有两个硬性条件必须满足：一是继承 thinkValidate，二是类名和文件路径保持一致。比如 app\validate\User 对应的文件必须是 User.php，否则后面用 validate(User::class) 时框架根本找不到类，报错都报得莫名其妙。

rule 和 message 怎么配才不踩坑

$rule 定义校验逻辑，$message 定义提示语，二者字段键名必须严格对应。这里有几个容易翻车的细节：

• 写了 'name' => 'require|max:25'，就要配上 'name.require' => '名称必须' 和 'name.max' => '最多25个字符'，少一条都不行。
• 用了别名写法（比如 'name|用户名' => 'require'），错误提示里显示的的确是“用户名”，但 $message 的键名仍然要用 'name.require'，而不是 '用户名.require'。这个很容易搞混。
• 如果没配 $message，系统会走默认提示，中文项目基本没法用——你可能会看到 "name must be between 1 and 25" 这样的英文提示，前端直接懵掉。

需要注意，$message 是关联数组，键名拼错或者漏写某一条，对应的规则校验失败时就会显示空字符串或者默认英文，排查起来相当头大。

验证码、数组字段、场景验证怎么写进验证器

这几个是高频但容易出错的扩展点，必须写在验证器类内部：

• 验证码规则直接写 'vercode' => 'require|captcha'，前提是已经装了 topthink/think-captcha 并且 Session 已启用，否则 captcha_check() 永远返回 false，验证码永远过不了。
• 数组字段（比如 tags[]）逐项校验，用 'tags.*' => 'max:20|alphaNum'；如果还要限制数组长度，再加一行 'tags' => 'array|each:alphaNum|max:5'。
• 场景控制（比如 add 和 edit 用不同的校验规则）靠 $scene 数组实现：protected $scene = ['edit' => ['username', 'email']]。调用时必须在验证器上显式写 $validate->scene('edit')->check($data)，漏掉 scene() 就等于没设场景，所有规则都会生效。

自定义规则函数（比如 checkPasswordStrength()）必须是 protected 方法，参数顺序固定为 ($value, $rule, $data)，返回 true 或错误字符串。注意不能返回 false 或 null，否则框架会按校验失败处理但提示信息为空。

控制器里怎么安全调用验证器

别再用控制器基类的 $this->validate() 了——它在 TP6.0+ 里只是一个兼容层，绕过了验证器类的所有扩展能力，官方已经标记为“兼容性保留”。正确做法是直接实例化验证器类：

• 推荐写法：$validate = new \app\validate\User(); if (!$validate->check($data)) { return json(['code'=>400, 'msg'=>$validate->getError()]); }
• 如果需要收集所有字段的校验错误，必须提前调用 $validate->batch(true)，否则 check() 遇到第一个错误就会停下来，前端只能收到一条提示，体验很差。
• 不要直接用 input('post.') 作为验证数据源。显式构造 $data 数组，可以避免 is_admin 这类敏感字段被不经意地传进来，绕过了校验却进了数据库。

真正麻烦的从来不是写规则，而是验证失败后怎么让前端拿到结构化的错误信息、怎么确保敏感字段不被绕过、以及为什么加了 scene 却没生效——这些问题都藏在调用链的细节里，而不是验证器类本身。