必须显式关闭pdo模拟预处理并严格校验动态sql关键字：在database.php或.env中设pdo::attr_emulate_prepares=>false；order/group/having等子句须白名单校验，禁用字符串拼接。
数据库连接配置必须显式关闭PDO模拟预处理
ThinkPHP 6 默认启用 PDO 预处理，但若底层 PDO::ATTR_EMULATE_PREPARES 被设为 true，所有 ? 占位符都会退化为字符串拼接——尤其在 Docker 容器或 MySQL 5.6 及以下版本中极易触发。这不是框架 bug，而是驱动层配置失效。
实操建议：
- 打开
config/database.php或环境变量文件（如.env），定位到数据库连接的params配置项 - 显式添加
PDO::ATTR_EMULATE_PREPARES => false，不能依赖默认值 - 确认部署模式为单机（
deploy = 0），集群环境下连接复用可能绕过该设置 - 验证方式：执行一次带用户输入的查询后，检查
runtime/log/sql.log中是否出现Binding: [123]，而非仅SQL: WHERE id = ?
原生 SQL 查询必须用问号占位符 + 顺序参数数组
Db::query() 和 Db::execute() 是纯裸通道，框架不做任何解析。命名占位符（如 :name）在 ThinkPHP 6 默认配置下不生效，除非你手动开启 params_bind => true —— 这会引入兼容性风险，不推荐。
实操建议：
- 坚持使用
?占位符，例如：Db::query("SELECT * FROM user WHERE status = ? AND type = ?", [$status, $type]) - 避免在 SQL 字符串中拼接任何用户输入，包括表名、字段名、
ORDER BY子句 - 对
IN查询，先生成等长问号串：$placeholders = implode(',', array_fill(0, count($ids), '?'))，再传参 - 不要写
Db::query("WHERE id IN (?)", [[1,2,3]])—— 这会导致IN ('1,2,3')报错
order/group/having 等动态关键字必须白名单校验
这些子句无法参数化，PDO 不允许把字段名或排序方向当绑定参数传。闭包也救不了——order(input('sort')) 在闭包里照样危险。
实操建议：
- 字段白名单硬编码校验：
$sort = in_array(input('sort'), ['id', 'create_time', 'status']) ? input('sort') : 'id'; - 方向校验同样必要：
$order = input('order') === 'desc' ? 'DESC' : 'ASC'; - 禁止拼接字符串：
order($sort . ' ' . $order)是安全的；order(input('sort') . ' ' . input('order'))是高危的 - 若需支持多字段排序，拆解并逐个校验：
array_map(fn($f) => in_array($f, $allowed), explode(',', input('sort')))
模型层字段类型与 auto_convert 是静默防线
控制器里用 input('id/d') 强转整型只是第一道过滤，如果后续在模型中调用 force(true) 或动态覆盖字段，仍可能绕过。真正的防线在模型定义和类型声明。
实操建议：
- 在模型类中定义
protected $type = ['id' => 'integer', 'status' => 'boolean']; - 开启
auto_convert配置（默认开启），确保写入前自动类型转换 - 禁用
force(true)，改用allowField($whiteList)显式声明可写字段 - 对模糊搜索等场景，
like()方法比手动拼接"%{$kw}%"更可靠，它内部已做转义和绑定
最易被忽略的是：PDO 模拟预处理开关藏在数据库驱动配置里，不是框架代码能控制的；而 order() 这类方法根本不在绑定路径上，白名单校验不是“可选优化”，是唯一可行手段。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
