ThinkPHP8.0怎么执行原生SQL语句-ThinkPHP-PHP中文网

ThinkPHP 8.0 执行原生 SQL 必须严格区分读写语义：查数据用 Db::query()（仅限 SELECT 等有结果集语句，返回二维数组或 false），改数据用 Db::execute()（仅限 INSERT/UPDATE/DELETE 等无结果集语句，返回影响行数或 false）；动态字段/表名须白名单校验后拼接，不可用占位符；调试时 Db::getLastSql() 需紧跟调用。

thinkphp8.0怎么执行原生sql语句

ThinkPHP 8.0 执行原生 SQL 必须严格区分读写语义，用错方法会导致查不到数据、改不成功，甚至在读写分离环境下走错库。

查数据：必须用 Db::query()

只用于 SELECT、SHOW、EXPLAIN、WITH 等有结果集的语句，返回二维数组（空结果也是 []），失败返回 false。

正确写法：Db::query("SELECT * FROM user WHERE status = :status", ['status' => 1]) —— 推荐命名占位符，清晰不易错
问号绑定也支持，但顺序必须和数组值严格一致：Db::query("SELECT name FROM user WHERE id = ? AND status = ?", [123, 1])
错误写法：Db::query("UPDATE user SET name = 'test' WHERE id = 1") —— 不报错，但 SQL 不会发往写库，数据毫无变化

改数据：必须用 Db::execute()

专用于 INSERT、UPDATE、DELETE、REPLACE、TRUNCATE 等无结果集的写操作，返回影响行数（int），失败也返回 false。

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

正确写法：$affected = Db::execute("UPDATE user SET name = ? WHERE id = ?", [$name, $id]); if ($affected === false) { /* 处理失败 */ }
要获取最后插入 ID，不能依赖 execute() 返回值，得额外调：Db::getLastInsID()
错误写法：$list = Db::execute("SELECT * FROM user"); foreach($list as ...) —— $list 是数字（如 0 或 1），直接 foreach 会报错

动态字段/表名必须白名单校验后拼接

占位符 :table 或 :field 不会被替换，PDO 会当成字符串字面量，导致语法错误或注入风险。

错误写法：Db::query("SELECT * FROM :table WHERE id = ?", [$tableName, $id])

正确做法：先校验变量是否在白名单中，再安全拼接

$sortField = in_array($input, ['id', 'name', 'create_time']) ? $input : 'id';<br>Db::query("SELECT * FROM user ORDER BY {$sortField} DESC");

表前缀可用 __USER__ 静态写法，框架自动替换；变量拼接场景仍需白名单+手动拼

调试与安全细节

Db::getLastSql() 只记录最近一次 query() 或 execute() 调用的 SQL，调试时务必紧跟其后调用。

LIKE 模糊查询：通配符必须包在绑定值里，['name' => "%{$keyword}%"]，别写进 SQL 字符串
MySQL 8.0+ 报错？大概率是 PDO 预处理未开启模拟：PDO::ATTR_EMULATE_PREPARES => true 需手动配置
批量插入建议优先用 Db::name('user')->insertAll($data)，比手写原生 INSERT 更稳，避免 SQL 长度超限

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！