thinkphp表单提交后数据收不到，主因是错误时机调用$this->request->post()，须在操作方法内调用而非构造函数；验证规则键名须与POST字段严格一致；csrf需模板中添加{:Token()}；保存数据必须用allowField()白名单过滤。
ThinkPHP 表单提交后数据收不到？检查 $this->request->post() 的调用时机
表单 POST 过来，$this->request->post() 却返回空数组，大概率不是路由或模板问题，而是控制器方法没在正确的生命周期里调用它。ThinkPHP 的 Request 对象在控制器初始化时就已加载，但如果你在构造函数里提前调用 post()（比如写在 __construct() 里），此时请求参数还没完成解析，结果就是空。
- 只在具体操作方法（如
index()、save()）内部调用$this->request->post() - 不要在构造函数、
initialize()或中间件里依赖post()的完整数据，它们可能尚未就绪 - 调试时可先打印
$this->request->method()确认确实是POST，再查post()
用 $this->validate() 做表单校验，字段名必须和 POST 键完全一致
验证规则写得再全，只要字段名对不上，$this->validate() 就会静默跳过——它不会报错，也不会提示“字段不存在”，只会当成没传该字段处理。比如表单里是 <input name="user_email">，而验证规则写的是 'email' => 'require|email'，那 user_email 根本不会被校验。
- 验证规则数组的键名必须和
$this->request->post()返回的键名严格一致 - 如果用了表单前缀（如
data[username]），规则里就得写'data.username' => 'require'，且需开启thinkValidate的嵌套支持（默认不启用） - 批量验证失败时，
$this->Error是字符串；单条验证失败返回布尔值，别误判返回类型
CSRF 防护开启后表单 400 报错？确认模板里写了 {:token()}
开启 token 验证后，提交直接 400，错误信息通常是 Token error 或 Invalid token，八成是前端漏了 token 字段。ThinkPHP 不会自动注入 hidden input，必须手动加。
- 在表单内任意位置写
{:token()}（模板引擎语法），它会生成类似<input type="hidden" name="__token__" value="xxx"> - 如果用了 ajax 提交，不能只靠
{:token()}渲染一次——每次新页面加载后 token 会变，AJAX 请求需从响应头或接口重新获取__token__值 - 关闭 token 验证仅用于调试，上线务必打开，配置项是
'token_on' => true（位于app/middleware.php或全局配置）
保存数据前用 $this->allowField() 控制字段白名单，别信 create() 或全量赋值
直接把 $this->request->post() 全扔进模型 save()，等于把所有表单字段（包括恶意伪造的 is_admin=1）都塞进数据库。ThinkPHP 5.1+ 已废弃 create()，但很多人仍习惯性用 save($_POST)，这是最常见越权漏洞来源。
立即学习“PHP免费学习笔记（深入）”；
- 显式声明允许写入的字段：
$model->allowField(['name', 'email', 'status'])->save($data) -
allowField()是硬性过滤，不在列表里的字段无论 POST 是否存在，一律丢弃 - 如果字段名带点号（如
profile.nickname），确保模型中定义了对应属性或使用data方法分步赋值
真正麻烦的从来不是怎么写表单提交，而是哪次忘了 {:token()}、哪次规则键名手抖少打了个下划线、哪次 allowField() 漏掉新字段——这些地方不出错则已，一出就是线上数据异常或权限绕过。