Laravel FormRequest的validated()返回规则外字段问题排查

Laravel原生FormRequest的validated()方法默认逻辑是仅返回rules()中显式声明、且通过校验的字段，出现未定义的last_name被一并返回，属于原生逻辑被覆盖或触发特殊场景，常见诱因如下：

• 占比最高的原因：UserRequest没有直接继承框架默认的Illuminate\Foundation\Http\FormRequest，而是继承了项目自定义的基类请求，该基类重写了validated()方法——不少项目为了开发便利，会将该方法重写为返回$this->all()，或自动合并全量请求数据，直接覆盖了原生的字段过滤逻辑。
• 项目存在全局校验逻辑修改：比如在服务提供者中给校验器注册了自定义宏、存在全局中间件篡改校验规则集合，自动将所有请求字段加入了校验返回列表。
• 使用Lumen框架而非完整版Laravel：Lumen为了轻量化简化了validated()方法实现，默认不会过滤未在规则中定义的字段，会直接返回全量输入数据。
• 低版本框架bug：Laravel 9.0~9.2早期版本存在JSON请求下平级字段过滤失效的已知问题，升级框架到最新补丁版本即可修复。

根据实际需求选择对应处理方式即可：

• 先排查请求类的继承关系，确认父类没有重写validated()方法破坏原生逻辑，同时排查全局是否有修改校验器行为的代码。
• 如果需要严格禁止多余字段传入，可以在规则中添加通配符拦截规则，所有未显式定义的字段会直接触发校验失败：

public function rules(): array
{
    return [
        'first_name' => ['required', 'string', 'max:255'],
        '*' => ['prohibited'],
    ];
}

• 如果使用Laravel 11及以上版本，可以直接在bootstrap/app.php中开启全局严格校验模式，自动拦截所有未声明的请求字段：

->withValidation([
    'strict' => true,
])

• 如果不需要拦截多余字段，仅希望validated()返回结果中过滤掉未定义字段，可以在取数时手动按规则键做过滤：

public function create(UserRequest $request)
{
    $data = $request->only(array_keys($request->rules()));
    return $data;
}

内容的提问来源于stack exchange，提问作者randomacc