Laravel安全传递当前用户ID至控制器及存储问题

咱们一步步拆解你的问题，先搞清楚当前奇怪现象的原因，再给出安全可靠的解决方案。

问题1：如何安全访问用户ID并避免前端篡改？ #

你现在看到query: array:1 [1 => null]的原因是：你把Auth::user()传给了route('events.store')，但Laravel资源路由里的store方法对应的POST路由默认是没有参数位的（路径是POST /events）。当你传递模型实例给路由生成函数时，Laravel会尝试把模型主键（你的用户ID=1）作为路由参数，但因为store路由不需要参数，它就把这个ID当成了查询参数的键，值设为null，这就出现了你看到的奇怪结果。

要彻底避免前端篡改，最安全的方式是完全不通过前端传递user_id，直接在后端从认证用户对象中获取：

• 前端表单只需要指向events.store路由即可，不需要带任何用户相关参数：

  <form action="{{ route('events.store') }}" method="post">
      @csrf <!-- 别忘了加CSRF令牌，这是Laravel表单必须的！ -->
      <!-- 你的其他表单字段 -->
  </form>
  

• 后端控制器里，直接通过Auth::user()->id拿到当前登录用户的ID——这个值是Laravel通过会话/认证机制维护的，前端完全无法篡改：

  $userId = Auth::user()->id;
  

如果非要在请求里带user_id（其实没必要），可以用隐藏字段，但必须在后端强制覆盖为当前用户ID（防止前端篡改）：

<form action="{{ route('events.store') }}" method="post">
    @csrf
    <input type="hidden" name="user_id" value="{{ Auth::user()->id }}">
    <!-- 其他表单字段 -->
</form>

后端处理时直接忽略前端传的user_id，用认证用户的ID：

$userId = Auth::user()->id;

问题2：如何把user_id加入存储逻辑并设为必填项？ #

首先要确保你的Event模型已经把user_id加入$fillable属性（否则Laravel的批量赋值会忽略这个字段）：

class Event extends Model
{
    protected $fillable = ['name', 'description', 'event_date', 'user_id'];
}

接下来分两种场景处理：

场景1：完全不需要前端传递user_id（最推荐、最安全） #

直接在验证后的数组中手动添加当前用户ID，不需要在验证规则里加user_id（因为后端直接赋值，前端根本碰不到）：

$validated = $request->validate([
    'name' => 'required',
    'description' => 'required',
    'event_date' => 'required'
]);

// 手动添加user_id，确保值来自认证用户
$validated['user_id'] = Auth::user()->id;

Event::create($validated);

场景2：需要在验证规则中包含user_id（不推荐，但如果有需求） #

如果一定要把user_id加入验证规则的必填项，记得验证后强制覆盖为当前用户ID，彻底杜绝篡改可能：

$validated = $request->validate([
    'name' => 'required',
    'description' => 'required',
    'event_date' => 'required',
    'user_id' => 'required|integer|exists:users,id' // 验证格式和用户存在性
]);

// 强制覆盖为当前认证用户的ID，不管前端传了什么
$validated['user_id'] = Auth::user()->id;

Event::create($validated);

内容的提问来源于stack exchange，提问作者Daniel Mer