使用StoreMessageRequest后，Laravel控制器直接取请求参数是否安全？

我定义了如下的StoreMessageRequest请求类：

public function rules(): array {
        return [
            'message' => [
                'required',
                'string',
                'max:60',
            ],
        ];
    }

并在MessageController的store方法中注入该请求：

public function store(StoreMessageRequest $request, Message $message) {
     ......
}

之后我执行了如下代码创建并保存模型：

$message = new Message([
        'user_id' => auth()->id(),
        'message' => $request->message
    ]);

    $message->save($message);

请问这种方式是否安全？是否应该使用$request->safe()->message、$validated = $request->safe()->all();或者$validated = $request->validated();？

当前方式的安全性 #

你当前的写法是安全的。因为StoreMessageRequest已经对message字段做了严格验证，确保它符合「必填、字符串类型、最大60字符」的规则，直接取$request->message赋值给模型字段，不会出现非法数据注入的问题。

另外注意：save()方法不需要传入$message参数，直接调用$message->save()即可，你当前的传参是多余的。

几种验证后取值方法的区别与选择 #

1. $request->validated()

   • 返回所有通过验证规则的字段数组，是Laravel官方推荐的获取验证后数据的方式。
   • 适合批量赋值场景，比如结合模型创建语法可以简化代码：Message::create($request->validated() + ['user_id' => auth()->id()])。

2. $request->safe()

   • 返回一个SafeInput实例，包含所有通过验证的字段，支持直接取单个字段（如$request->safe()->message）或通过all()转为数组。
   • 和validated()的核心区别：safe()还会包含那些未在规则中定义但被允许传入的字段（比如请求类中额外声明允许的字段），而validated()只返回规则里明确定义的字段。
   • 在你的场景下，两者实际效果几乎一致。

3. 直接取$request->message

   • 单个字段赋值时没问题，但如果后续请求规则新增字段，批量赋值时容易遗漏验证逻辑，代码维护性不如前两种方法。

推荐写法 #

如果是单个字段赋值，直接取$request->message完全可行；如果是批量赋值，更推荐用validated()，示例：

$message = Message::create([
    'user_id' => auth()->id(),
    ...$request->validated()
]);

用safe()也可以，逻辑上更严谨，能确保只使用经过验证的合法数据。

内容的提问来源于stack exchange，提问作者fjduqrllhdnolvgrcc