order by 必须位于 where 之后、limit 之前，多字段用逗号分隔，asc 可省略而 desc 必须显式写出；需白名单校验字段名与排序方向防注入；优先数据库排序走索引，避免 php 全量排序；null 默认排序行为因库而异，应显式控制。
ORDER BY 在 SQL 查询中必须写在 WHERE 之后
很多人写 SELECT * FROM users ORDER BY name WHERE status = 1，结果直接报错 MySQL syntax error near 'WHERE'。这是因为 SQL 语法顺序是固定的：WHERE 必须出现在 ORDER BY 前面。
正确写法是：
SELECT * FROM users WHERE status = 1 ORDER BY name
-
ORDER BY永远是整个查询的倒数第二子句（LIMIT在它后面） - 多个字段排序用逗号分隔：
ORDER BY status DESC, created_at ASC - ASC 可省略，DESC 必须显式写出
- 字符串排序默认区分大小写（取决于字段 collation），如需忽略大小写，可加
COLLATE utf8mb4_general_ci
PHP 中拼接 ORDER BY 要防 SQL 注入
直接把用户输入塞进 ORDER BY 是高危操作。比如 $order = $_GET['sort']; $sql = "SELECT * FROM posts ORDER BY $order";，攻击者传 sort=id; DROP TABLE posts; 就可能出事。
安全做法只有两个：
- 白名单校验字段名：
in_array($order, ['title', 'created_at', 'author_id']) ? $order : 'id' - 白名单校验方向：
$dir = in_array($_GET['dir'], ['ASC', 'DESC']) ? $_GET['dir'] : 'ASC' - 不要用
mysqli_real_escape_string或引号包裹字段名——它对字段/关键字无效 - PDO 的命名参数、问号占位符也不能用于
ORDER BY字段，只能用于值
PHP 数组排序 vs 数据库排序：别在 PHP 里 sort() 百万行
查出全部数据再用 usort() 或 array_multisort() 排序，看着灵活，实际是性能陷阱。
- 数据库排序走索引（如
INDEX(status, created_at)），速度是 O(log n)；PHP 排序是 O(n log n)，且全量数据要从 MySQL 传输到 PHP 内存 - 分页时更危险：查 10000 行只显示 20 条，却在 PHP 里排了全部 —— 浪费带宽、内存、CPU
- 只有当排序逻辑无法用 SQL 表达（比如按中文拼音首字母、按自定义权重函数）才考虑 PHP 端排序
- 若真要 PHP 排序，优先用
uasort()保留键名，避免打乱关联关系
NULL 值在 ORDER BY 中的默认行为容易被忽略
执行 ORDER BY updated_at 时，NULL 值会排在最前面（ASC）或最后面（DESC），但这个行为不是所有数据库都一致，MySQL 和 PostgreSQL 默认不同，而且不能靠直觉猜。
- MySQL 5.7+ 中，
ASC下 NULL 最小，DESC下 NULL 最大 - 想强制 NULL 排末尾（ASC）：用
ORDER BY IS NULL(updated_at), updated_at - 想统一行为，推荐显式控制：
ORDER BY IFNULL(updated_at, '9999-12-31') ASC - 如果字段允许 NULL，又参与排序，上线前务必用真实含 NULL 数据验证结果
ORDER BY 看似简单，但字段位置、注入防护、执行阶段（DB 还是 PHP）、NULL 处理这四点，任一疏忽都会导致数据错乱或服务变慢。尤其上线前别只测“有数据”的 case，NULL 和空字符串的真实排序表现，往往要到线上才暴露。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
