在處理表單提交的數據的時候，建議盡量采用Think\Model類提供的create方法首先進行數據創建，然后再寫入數據庫。 > create方法在創建數據的同時，可以進行更為安全的處理操作，而且這一切讓你的表單處理變得更簡單。 使用create方法創建數據對象的時候，可以使用數據的合法性檢測，支持兩種方式： ### 配置insertFields 和 updateFields屬性 可以分別為新增和編輯表單設置`insertFields`和 `updateFields`屬性，使用create方法創建數據對象的時候，不在定義范圍內的屬性將直接丟棄，避免表單提交非法數據。 insertFields 和 updateFields屬性的設置采用字符串（逗號分割多個字段）或者數組的方式。 設置的字段應該是實際的數據表字段，而不受字段映射的影響。例如： ~~~ namespace Home\Model; class UserModel extends \Think\Model{ protected $insertFields = array('account','password','nickname','email'); protected $updateFields = array('nickname','email'); } ~~~ 定義后，調用add方法寫入用戶數據的時候，只能寫入`'account','password','nickname','email'`這幾個字段，編輯的時候只能更新`'nickname','email'`兩個字段。 在使用的時候，我們調用create方法的時候，會根據提交類型自動識別insertFields和updateFields屬性： ~~~ D('User')->create(); ~~~ ### 直接調用field方法 如果不想定義insertFields和updateFields屬性，可以在調用create方法之前直接調用field方法，例如，實現和上面的例子同樣的作用： 在新增用戶數據的時候，使用： ~~~ M('User')->field('account,password,nickname,email')->create(); ~~~ 而在更新用戶數據的時候，使用： ~~~ M('User')->field('nickname,email')->create(); ~~~ 這里的字段也是實際的數據表字段。 > field方法也可以使用數組方式。 使用字段合法性檢測后，你不再需要擔心用戶在提交表單的時候注入非法字段數據了。