db::raw()本身不执行sql，仅标记字符串为“可信片段”，必须配合whereraw()、selectraw()等使用；动态值须严格通过参数绑定传入，否则导致sql注入；字段名等标识符需白名单校验，不可绑定。
DB::raw() 本身不执行 SQL，只标记字符串为“可信片段”；它必须配合 whereRaw()、selectRaw() 等方法使用，且所有动态值必须通过参数绑定传入——否则就是裸奔式 SQL 注入。
DB::raw() 不是执行入口，只是构建器里的“免转义标记”
常见错误是把整条 SQL 塞进 DB::raw("SELECT * FROM users") 然后试图运行，结果什么也不发生。因为 DB::raw() 只是一个 RawExpression 实例，它本身不触发任何数据库操作。
- 正确用法只出现在查询构建器链中：比如
whereRaw()、selectRaw()、orderByRaw()、havingRaw() - 它唯一作用是告诉 Laravel：“这段字符串我信，别自动加引号或转义”，仅此而已
- 若你真要跑一条原生 SELECT，请用
DB::select()；要 INSERT 就用DB::insert()—— 它们才是执行入口
whereRaw() 必须手动传 bindings，漏掉就等于开后门
whereRaw() 绕过 Query Builder 的自动绑定机制，意味着你得自己负责安全。不传第二个参数数组，或把用户输入直接拼进字符串，等于把 SQL 解析权交到攻击者手里。
- 危险写法：
->whereRaw("email = '{$request->email}'")—— 单引号、括号、UNION 全部被数据库执行 - 安全写法（问号占位）：
->whereRaw("email LIKE ?", ['%' . $q . '%']) - 安全写法（命名绑定）：
->whereRaw("status IN (:a, :b)", ['a' => 'active', 'b' => 'pending']) - 注意：命名绑定在
whereRaw()中默认生效，无需额外 PDO 选项；但DB::select()里需显式传[PDO::ATTR_EMULATE_PREPARES => true]
动态列名、表名、排序字段不能用 ? 绑定，必须白名单校验
占位符 ? 和 :name 只能绑定值（values），不能绑定标识符（identifiers）——比如 ORDER BY ? 会报错，SELECT ? FROM users 会被当成字符串字面量。
- 错误示例：
->orderBy($request->sortField)或DB::raw("table_{$suffix}.id") - 正确做法：提前定义允许值列表，运行时严格比对：
in_array($sortField, ['name', 'email', 'created_at'], true) - 字段名含保留字（如
order、group）时，必须用反引号或方括号包裹：DB::raw("`order` DESC")或DB::raw("[order] DESC") - 若变量来自 URL 参数或表单，务必先走
$request->validate(['sort' => 'required|in:name,email,created_at'])
selectRaw() 里混变量是高危操作，计算字段才该用 raw
selectRaw() 的合理用途是嵌入数据库函数、表达式或别名，比如 COUNT(*)、DATE_FORMAT(created_at, "%Y-%m")。一旦在里面拼接用户可控内容，风险和 whereRaw() 一样严重。
- 安全示例：
selectRaw('COUNT(posts.id) as post_count')—— 无变量，纯结构 - 危险示例：
selectRaw("CONCAT(first_name, ' ', {$middle})")——$middle应走 binding：selectRaw("CONCAT(first_name, ' ', ?)", [$middle]) - JSON 查询场景：
whereRaw('JSON_CONTAINS(meta, ?)', [json_encode(['tag' => 'hot'])])—— 先json_encode()，再作为 binding 传入 - 日期比较别拼字符串：
whereRaw('created_at >= ?', [Carbon::parse($date)->toDateTimeString()])
最常被忽略的点是：DB::raw() 的“安全”完全依赖你是否把动态值彻底剥离出 SQL 字符串。哪怕只漏一个 ?，或对一个字段名不做白名单检查，整个查询就失去防护意义。
