ThinkPHP8.2事务内原生SQL怎么防御SQL注入-ThinkPHP-PHP中文网

ThinkPHP 8.2 事务内执行原生 SQL 必须使用 PDO 预处理（如 Db::execute("UPDATE user SET status = ? WHERE id = ?", [$status, $id])），禁用字符串拼接；字段名、表名、排序方向等标识符须白名单校验；Db::raw() 和 whereRaw() 等显式放弃绑定的操作在事务中尤为危险，需严格规避。

thinkphp8.2事务内原生sql怎么防御sql注入

在 ThinkPHP 8.2 中，事务内执行原生 SQL 是高风险操作，因为事务本身不提供 SQL 注入防护，防护责任完全落在 SQL 构造环节。只要用了 Db::execute()、Db::query() 或 Db::raw() 等直接拼接字符串的方式，且参数未隔离，就等于主动放弃框架的绑定机制。

必须用参数绑定，不能拼字符串

ThinkPHP 8.2 的原生查询支持 PDO 预处理语法，这是唯一可靠的方式：

使用占位符 ? 或命名占位符（如 :id），再通过第二个参数传入值数组
例如：Db::execute("UPDATE user SET status = ? WHERE id = ?", [$status, $id])
禁止写法：Db::execute("UPDATE user SET status = '$status' WHERE id = $id") —— 单引号、双引号、无引号拼接全都不安全
即使在事务中（Db::transaction(function () { ... })），也必须坚持该规则

字段名/表名/排序方向等标识符不能参数化，必须白名单校验

预处理只能绑定数据值，无法绑定字段名、表名、ORDER BY 方向等 SQL 标识符。这类动态内容一旦来自用户输入，必须严格过滤：

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

只允许从预设列表中选取，例如：$allowSort = ['id', 'name', 'create_time']; $sort = in_array($inputSort, $allowSort) ? $inputSort : 'id';
排序方向限定为 ASC 或 DESC，用三元判断：$order = strtolower($inputOrder) === 'desc' ? 'DESC' : 'ASC';
表名同理，禁止用 input('table') 直接拼进 FROM 子句