在PHP中这是正确的卫生处理和白名单吗

我不认为有任何特定的“正确”方法来过滤入站参数。虽然我认为 Request::only() 比你的干净一点。

1. inject 这个 Request 对象而不是使用helper函数。
2. custom Request class 并设置一些验证规则。
3. 使该自定义请求类以及您可能希望从中执行此行为的任何其他类继承您自己的基类,该基类反过来扩展 Illuminate\Http\Request 一个。这让你有机会使用它的自动发射 prepareForValidation() authorize() 方法。
4. 将此片段插入其中: https://gist.github.com/kmuenkel/8b926c398c22d7641ef1e99bb8c2508a

最终的结果将是任何未在 $rules