在 Laravel 中直接拼接用户输入到列名（如 "product_varient_$var"）存在严重 SQL 注入风险，即使未使用 selectRaw 也无法规避；必须通过白名单校验或预定义映射确保列名合法。
在 laravel 中直接拼接用户输入到列名（如 `"product_varient_$var"`）存在严重 sql 注入风险，即使未使用 `selectraw` 也无法规避；必须通过白名单校验或预定义映射确保列名合法。
在 Laravel 应用开发中，动态访问数据库字段（例如按用户选择的变体编号读取 product_varient_1、product_varient_2 等）看似便捷，但若处理不当，极易引入高危 SQL 注入漏洞。关键误区在于：列名不属于参数化查询的保护范围——Eloquent 和 Query Builder 的 ? 占位符、where() 方法等仅能安全绑定值（values），而无法转义或参数化标识符（identifiers），如表名、列名、排序字段等。
上述代码：
$var = 1;
$sample = DB::table('products')->select("product_varient_$var")
->distinct()
->get();
表面看未使用 selectRaw，但 select("product_varient_$var") 本质仍是字符串拼接。若 $var 来自用户请求（如 request('variant_id')），攻击者可构造恶意输入（如 $var = '1 FROM users --'），最终生成非法 SQL：
SELECT DISTINCT product_varient_1 FROM users -- FROM products
这将绕过原表限制，可能泄露敏感数据。
✅ 正确做法是严格白名单校验，拒绝一切非预期输入：
方案一：请求验证（推荐，符合 Laravel 最佳实践）
在控制器中使用 validate() 强制限定合法值：
use Illuminate\Http\Request;
public function index(Request $request)
{
$validated = $request->validate([
'variant_id' => 'required|in:1,2,3'
]);
$var = (int) $validated['variant_id'];
$column = "product_varient_{$var}";
$sample = DB::table('products')
->select($column)
->distinct()
->get();
return response()->json($sample);
}
方案二：运行时显式校验（适用于非 Request 场景）
$var = $request->input('variant_id', 1);
if (!in_array($var, [1, 2, 3], true)) {
abort(400, 'Invalid variant ID. Only 1, 2, or 3 are allowed.');
}
$column = "product_varient_{$var}";
$sample = DB::table('products')->select($column)->distinct()->get();
⚠️ 注意事项：
- 不要依赖 (int) 强制转换替代校验：$var = (int) '1; DROP TABLE products; --' 仍会得到 1，但若后续用于其他上下文（如拼接 SQL 片段）仍有风险；
- 避免使用 DB::raw() 或 selectRaw() 拼接列名，除非已通过白名单严格过滤；
- 更健壮的设计是将变体建模为独立关系表（如 product_variants），而非冗余字段，从根本上消除动态列需求；
- 若必须支持更多变体，可将白名单定义为常量或配置项，便于维护：
const VALID_VARIANT_IDS = [1, 2, 3, 4, 5]; if (!in_array($var, self::VALID_VARIANT_IDS)) { /* ... */ }
总结：Laravel 的查询构建器不会自动转义列名字符串。任何将用户输入直接插入 SQL 标识符位置的行为（无论是否调用 selectRaw）都构成注入风险。唯一可靠防御是服务端白名单校验 + 显式映射，这是保障数据安全不可妥协的底线。
