ThinkPHP5.1.21的orderby注入漏洞怎么处理-ThinkPHP-PHP中文网

ThinkPHP 5.1.0–5.1.21 存在 ORDER BY 注入漏洞，因未校验排序字段白名单，直接拼接用户输入至 order() 方法所致；修复需严格限定字段与方向或升级至 5.1.40+。

thinkphp5.1.21的orderby注入漏洞怎么处理

ThinkPHP 5.1.21 存在的 ORDER BY 注入漏洞，本质是框架未对排序字段做白名单校验，当开发者直接将用户输入（如 URL 参数、POST 数据）拼入 order() 方法时，可能绕过过滤导致 SQL 注入。该问题在 5.1.x 系列中广泛存在，尤其在未启用严格参数绑定或手动拼接排序语句的场景下风险突出。

确认是否受影响
需同时满足两个条件：

使用了 ThinkPHP 5.1.0 至 5.1.21（含）版本
代码中存在类似 $model->order(input('sort')) 或 $model->order($_GET['sort']) 这类未经校验直接传入 order() 的写法

注意：仅使用 ->order('id desc') 字符串常量、或通过数组键值对方式如 ->order(['id' => 'desc']) 是安全的，不触发该漏洞。

核心修复方式：强制白名单校验
不要依赖过滤函数（如 htmlspecialchars、addslashes），而应限定可接受的字段与方向：

$allowFields = ['id', 'name', 'create_time', 'status'];
$sort = input('sort', 'id');
$orderField = in_array($sort, $allowFields) ? $sort : 'id';

$direction = strtolower(input('dir', 'asc'));
$direction = in_array($direction, ['asc', 'desc']) ? $direction : 'asc';

$list = Db::name('user')->order($orderField . ' ' . $direction)->select();

升级是最稳妥方案
官方已在 5.1.30+ 版本中增强 order() 方法的参数处理逻辑，对非法字符（如逗号、括号、空格、反引号）进行拦截。建议直接升级至 5.1.40 或更高维护分支版本（注意：5.1 系列已停止官方支持，生产环境应规划迁移到 ThinkPHP 6.3+ 或 8.x）。

临时加固（无法升级时）