ThinkPHP8安全性增强与SQL注入防护详解【安全】-ThinkPHP-PHP中文网

ThinkPHP8强制参数绑定防御SQL注入，动态查询须用键值数组或闭包；原生SQL需显式占位符绑定；禁用模拟预处理、raw/exp方法；排序与输入须白名单校验及类型强转。

thinkphp8安全性增强与sql注入防护详解【安全】

ThinkPHP8在输入过滤、XSS防护、SQL注入防御等方面进行了系统性加固，所有动态查询必须走参数绑定路径，否则将绕过安全机制直接执行原始SQL。

强制使用数组或闭包形式的where条件

字符串拼接的where语句会跳过PDO参数绑定，导致用户输入被当作SQL代码执行。框架仅对键值数组和闭包结构自动启用绑定机制。

方法一：改写为键值数组格式
将where("id = " . input('id'))替换为where(['id' => input('id')])。

方法二：复杂逻辑封装为闭包
用where(function($q) use($name, $status){ $q->where('name', 'like', "%{$name}%")->where('status', $status); })替代多条件字符串拼接。

方法三：LIKE子句必须手动拼接通配符
【禁止】写成where(['name' => ['like', input('kw')]])——这会让%符号进入绑定值，无法匹配；正确写法是where(['name' => ['like', '%' . input('kw') . '%']])。

原生SQL必须显式绑定参数

Db::query()默认不转义、不绑定，等同于裸执行。只有传入占位符+参数数组时，PDO才真正触发预处理流程。

第一步：用位置占位符配合索引数组
执行Db::query("SELECT * FROM user WHERE id = ? AND status = ?", [$id, $status])。

第二步：命名占位符需严格对应键名
调用Db::query("SELECT * FROM user WHERE name = :name AND level IN (:level1, :level2)", [':name' => $name, ':level1' => 1, ':level2' => 2])。

第三步：IN语句要动态生成占位符
若$idList = [1,5,8]，先构造$placeholders = implode(',', array_fill(0, count($idList), '?'))，再执行Db::query("WHERE id IN ($placeholders)", $idList)。

关闭模拟预处理与危险接口

PDO::ATTR_EMULATE_PREPARES设为true时，预处理会退化为字符串拼接，在MySQL低版本或Docker环境中极易触发注入漏洞。

在数据库配置文件中添加：'PDO::ATTR_EMULATE_PREPARES' => false。

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

全局禁用raw()和exp()调用——它们完全绕过框架安全层，等同于手动拼接SQL。

排序字段必须白名单校验：$sort = in_array(input('sort'), ['id', 'create_time', 'status']) ? input('sort') : 'id';，然后硬编码进SQL：order($sort . ' ' . input('order', 'ASC'))。