ThinkPHP6如何用Route资源路由_ThinkPHP6用Route资源路由代码【示例】

如果你在ThinkPHP6项目中用过Route::resource()来快速生成RESTful路由，那可得留神了。这个看似便捷的方法，背后藏着几个容易踩坑的安全隐患和设计缺陷，很多开发者直到项目上线都没完全察觉。

简单来说，Route::resource()生成的路由，远比表面看起来“重”。它默认会一口气注册全部7个RESTful方法的路由，即便你用了only或except试图限制，也**无法阻止其他方法（比如create、edit、delete）的路由被注册，甚至可能被访问到**——这恐怕是最容易被忽略的一个安全盲区。

Route::resource() 默认注册全部 7 个方法，only 不生效

举个例子，你在路由文件里写下Route::resource('article', 'Topic')->only(['index','read'])，心里想着只开放列表和详情两个只读接口。但实际执行一下php think route:list命令，结果可能会让你吃惊：article/create、article/store、article/destroy等全部7条路由都赫然在列，状态还是「enabled」。

• 核心问题在于，only和except方法在TP6的resource()中其实是无效的，这个现象在6.0.x版本中一直存在。
• 真正保险的做法是放弃resource()，回归手动逐条注册：Route::get('article', 'Topic/index')加上Route::get('article/:id', 'Topic/read')。
• 另外，如果你习惯使用url('[article.index]')这类命名路由来生成URL，也要注意：resource()生成的name是article.index，但路由规则却是article。想实现完全可控，还是得靠手写Route::get('article', ...)->name('article.index')。

资源路由的 name 命名规则固定，与路径无关

另一个让人困惑的点是命名路由。Route::resource('user', 'User')生成的路由name，永远是user.index、user.read、user.create这一套，**它只跟控制器名有关，不会因为你实际的路由前缀是member就自动变成member.index**。

• 这里的name是框架硬编码拼接的：控制器名小写 + 点 + 方法名，跟你在路由中写的表达式完全脱钩。
• 想要自定义name，同样必须放弃resource()，改用显式命名：Route::get('member', 'User/index')->name('member.index')。
• 只有这样，在模板里使用url('[member.index]')时，才能稳定生成/member路径，而不会意外跳转到/user。

带参数的资源路由（如 read）必须用 Route::get() 显式注册

对于包含变量（比如:id）的路由，TP6的路由机制有个明确要求：如果需要严格限制HTTP方法（例如详情页只允许GET请求），就不能使用Route::rule()。否则，POST等请求也能命中同一条路由，这会带来潜在的CSRF（跨站请求伪造）风险。

• ✅ 正确做法：Route::get('blog/:id', 'Topic/read')->name('blog.read')
• ❌ 危险做法：Route::rule('blog/:id', 'Topic/read') —— 默认会接受所有HTTP方法，可能导致中间件和验证器的逻辑错位。
• 别忘了给变量加上正则约束：->pattern(['id' => '\d+'])，这能有效避免传入非数字参数可能引发的SQL注入或意外的404错误。
• 如果参数值可能包含斜杠（比如Base64编码的token），建议用\S+替代.*，防止贪婪匹配吞掉后续的路由段。

CLI 下查路由必须加 --with-route，否则看不到 resource 路由

调试路由时，直接在命令行运行php think route:list，默认是不会加载路由文件的，输出要么为空，要么只有一些硬编码路径。如果不加参数，你根本无从知晓resource()到底在后台注册了些什么。

• 查看当前应用的路由列表，需要运行：php think route:list index --with-route
• 在多应用模式下，务必确认路由文件放在app/index/route/app.php（注意不是项目根目录的route/文件夹）。
• 另外，闭包路由（function() { }）不会出现在这个列表里，调试起来比较困难，生产环境一般建议禁用。
• 如果加了参数route:list仍然没有输出，第一步先检查config/app.php配置文件里的'app_route' => true是否已经开启。

说到底，真正安全可控的“资源式”路由，不是靠Route::resource()一行代码走天下，而是老老实实用Route::get()、Route::post()等方法逐条声明，再配合显式的->name()命名和严格的->pattern()参数约束。在ThinkPHP6的当前版本里，resource()方法更像是一个为了历史兼容性而保留的符号，并非现代开发实践中的推荐做法。