必须升级到ThinkPHP 6.3+，否则参数绑定机制存在绕过风险；旧版本中where方法在动态类名反射、Zhl标签库、多语言模块等场景完全不设防，且6.0.0–6.0.13存在多个SQL注入入口，直到6.3.0才通过统一参数解析层、禁用动态反射、增强Db::raw()拦截等措施系统性收敛。
必须升级到 ThinkPHP 6.3+，否则参数绑定机制存在绕过路径，where 方法看似安全，实则在旧版本中对动态类名反射、Zhl 标签库、多语言模块等场景完全不设防。
升级到 6.3+ 是启用有效参数绑定的前提
ThinkPHP 6.0.0–6.0.13 存在多个已知 SQL 注入入口，比如 think_lang 参数触发的文件包含链、Zhl.php 中硬编码拼接 $keywords 到 like 条件。这些漏洞直到 6.3.0 才被系统性收敛——它引入统一参数解析层、禁用动态类名反射、默认关闭 __call 自动映射，并增强 Db::raw() 和闭包查询的变量拦截能力。
不升级就谈“绑定防护”，等于在漏雨的屋顶下擦地板。
- 6.3+ 默认不再加载
topthink/think-template的第三方扩展标签库（如Zhl），避免手写 SQL 的失控风险 -
Db::raw('COUNT(*)')这类表达式在 6.3+ 中会对\think\前缀字符串做更早拦截，防止恶意命名空间注入 - 如果你还在用 6.0.x 或 6.1.x，
where('name', $name)在某些构造下仍可能被绕过（例如配合invokefunction类攻击）
where 方法的安全用法与典型失效场景
where 方法本身依赖 PDO 绑定，但它的安全性只在你“不破坏结构”的前提下成立。日志里出现 WHERE name = 'admin' OR 1=1 -- ' 就是明确信号：绑定已被跳过。
- ❌ 错误：
$model->where("name = '$name'")->select()—— 单引号包裹 + 变量插值，PDO 完全不介入 - ❌ 错误：
$model->where('name', 'like', '%' . input('keyword') . '%')->select()——input()未过滤，%放大 payload（如%' OR 1=1 --） - ✅ 正确：
$model->where('name', $name)->select()或$model->where(['name' => $name])->select() - ✅ 模糊查询优先用
whereLike：$model->whereLike('name', $keyword)；若需手动拼%，确保由 PHP 拼："%{$keyword}%"，而非 SQL 字符串里写'%?%'
原生 SQL 必须用 ? 占位符，且仅支持顺序绑定
Db::query() 和 Db::execute() 不识别命名绑定（如 :status），也不处理表名、字段名、ORDER BY 子句中的变量——这些位置只能靠白名单兜底。
- ✅ 正确：
Db::query("SELECT * FROM user WHERE status = ? AND type = ?", [$status, $type]) - ❌ 错误：
Db::query("SELECT * FROM user WHERE status = $status")—— 零防护 - ❌ 错误：
$model->order($sort . ' ' . $order)——$sort和$order必须白名单校验：in_array($sort, ['id', 'create_time']) ?: die('非法字段') - ⚠️ 注意：
Db::raw()和闭包查询里的where是“信任区”，ThinkPHP 默认不干预内容。一旦把input('sort')直接喂进去，绑定形同虚设
通过日志验证参数绑定是否真正生效
开启 debug 和 trace 后，在 SQL 日志中查找 Params 字段。如果看到类似 "Params": ["admin", 1]，说明绑定成功；如果日志里直接出现拼接后的完整 SQL（如 WHERE name = 'admin' OR 1=1'），说明某处代码已绕过绑定机制。
最常被忽略的是模板标签库和自定义查询方法——它们往往在框架之外手写 SQL，又没做白名单或转义，成了注入漏洞的温床。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
