Laravel 中动态字段名的安全处理：防范 SQL 注入风险的正确实践-php教程-PHP中文网

Laravel 中动态字段名的安全处理：防范 SQL 注入风险的正确实践

在 Laravel 中直接拼接用户输入构造动态列名（如 "product_varient_$var"）存在严重 SQL 注入隐患，即使未使用 selectRaw 也无法规避；必须通过白名单校验或预定义映射确保字段名绝对安全。

在 laravel 中直接拼接用户输入构造动态列名（如 `"product_varient_$var"`）存在严重 sql 注入隐患，即使未使用 `selectraw` 也无法规避；必须通过白名单校验或预定义映射确保字段名绝对安全。

在 Laravel 应用开发中，为支持商品多规格（如颜色、尺寸、包装等），部分开发者会将变体字段设计为固定前缀加序号的形式，例如 product_variant_1、product_variant_2、product_variant_3。当需要根据用户请求动态查询某一变体时，若直接将未经校验的变量拼入 select() 方法，例如：

$var = $request->input('variant_id'); // 来自用户输入
$sample = DB::table('products')->select("product_variant_$var")
    ->distinct()
    ->get();

⚠️ 这构成高危 SQL 注入漏洞。虽然 Laravel 的 select() 方法本身不解析 SQL 表达式（区别于 selectRaw()），但此处的 "product_variant_$var" 是 PHP 字符串拼接操作——一旦 $var 被篡改为 1 FROM users --，最终生成的字段名将变为 product_variant_1 FROM users --，在某些数据库驱动或特定上下文中可能触发语法异常甚至被恶意利用（尤其配合其他注入点或错误回显时）。更关键的是，字段名不属于参数化查询的保护范围，PDO 无法对其转义或预编译。

✅ 正确做法是：永远拒绝动态拼接标识符（表名、列名、排序字段等），而采用严格白名单控制。以下是两种推荐方案：

方案一：请求验证 + 白名单约束（推荐）

使用 Laravel 内置验证规则，在控制器入口层拦截非法值：

$request->validate([
    'variant_id' => 'required|integer|in:1,2,3'
]);

$var = $request->integer('variant_id');
$column = "product_variant_$var";

$sample = DB::table('products')
    ->select($column)
    ->distinct()
    ->get();

方案二：运行时显式校验（适合逻辑分散场景）

若变量来源复杂或需复用校验逻辑，可手动检查：

$var = $request->input('variant_id');

if (!in_array($var, [1, 2, 3], true)) {
    abort(400, 'Invalid variant ID. Only 1, 2, or 3 are allowed.');
}

$column = "product_variant_$var";
$sample = DB::table('products')
    ->select($column)
    ->distinct()
    ->get();

? 进阶建议：消除硬编码，提升可维护性

避免在多处重复写死 [1,2,3]，建议统一配置：

// config/product.php
'variant_columns' => [
    1 => 'product_variant_1',
    2 => 'product_variant_2',
    3 => 'product_variant_3',
],

// 控制器中
$allowedIds = array_keys(config('product.variant_columns'));
$request->validate(['variant_id' => ['required', 'in:' . implode(',', $allowedIds)]]);

$column = config('product.variant_columns')[$request->integer('variant_id')] ?? null;
if (!$column) {
    abort(400, 'Variant column not found.');
}

? 总结：