ThinkPHP如何做SQL注入深度防护_ThinkPHP预处理语句详解【详解】-ThinkPHP-PHP中文网

是的，ThinkPHP 5.1+ 的 where() 等链式方法默认通过 PDO 预处理和参数绑定防 SQL 注入，但字符串拼接（如 where('id=' . input('id'))）、误用 raw()/exp()、动态字段/表名未白名单校验等仍会导致注入。

thinkphp如何做sql注入深度防护_thinkphp预处理语句详解【详解】

是的，只要不手动拼接 SQL 字符串，ThinkPHP 5.1+ 的 where()、find()、select() 等链式方法默认使用 PDO 预处理，参数自动绑定，天然防基础 SQL 注入。

但陷阱在「看似安全实则危险」的写法里：

where('id = ' . input('id')) —— 字符串拼接，直接绕过预处理
where('status = ' . $status) —— 即使 $status 来自数据库，若未过滤就拼入，也可能被二次注入
where(['title' => ['like', '%' . input('q') . '%']]) —— 这种写法安全，因为 like 操作符会触发参数绑定
where('title like "%' . input('q') . '%"') —— 错！双引号内拼接 + 无占位符 = 注入温床

当你不得不写原生 SQL（比如复杂子查询、窗口函数、JSON 查询等），就必须主动用 query() / execute() + 绑定，否则等于裸奔。

关键点：

Db::query('SELECT * FROM user WHERE name = ? AND status = ?', [input('name'), input('status')]) —— 安全，问号占位 + 数组绑定
Db::query('SELECT * FROM user WHERE name = :name', ['name' => input('name')]) —— 也安全，命名占位符
Db::bind(['name' => input('name')])->query('SELECT * FROM user WHERE name = :name') —— 等效，但更易读长参数
别用 Db::query("SELECT * FROM user WHERE name = '" . input('name') . "'") —— 不管有没有单引号，都错

raw()（TP6）和已废弃的 exp()（TP5）本质是告诉框架：“这段内容我来负责安全，你别动它”。一旦用了，框架就跳过所有转义和绑定，原样插入 SQL。

常见误用场景：

where('created_time > ' . raw(input('start'))) —— 如果 input('start') 是 '2024-01-01' OR 1=1，就炸了
order(raw(input('sort'))) —— 排序字段不能参数化，但必须白名单校验，不能靠 raw() 放行
正确替代：in_array(input('sort'), ['id', 'name', 'create_time']) ? input('sort') : 'id'

记住：raw() 不是“高级用法”，是“最后手段”——只应在确认输入绝对可信（如后台固定配置、枚举值映射）时才用。

SQL 注入不止发生在 where，这些地方同样危险：

field()：如 field(input('fields')) —— 字段名无法参数化，必须严格白名单校验
table()：动态表名（如分表场景）必须用正则限制格式，例如 preg_match('/^log_\d{6}$/', $table)
关联查询中的 alias() 或 join() 表别名 —— 同样不可信输入直传
JSON 字段查询（如 MySQL 5.7+ 的 -> 操作符）：TP 默认不处理 JSON 路径字符串，where('info->"$.name"', input('name')) 是安全的，但 where('info->"$. ' . input('key') . '"', ...) 就不是