ThinkPHP 6.3 防SQL注入核心是禁用拼接、坚守参数绑定：优先用where()+update()等安全链式调用；严防whereRaw()滥用，必须传参绑定；字段名等标识符须白名单校验；数值/布尔类型强制转换；确保PDO真实预编译启用（ATTR_EMULATE_PREPARES=false）。
ThinkPHP 6.3 更新数据时防止 SQL 注入，核心在于**不拼接用户输入、不绕过参数绑定机制**。框架本身已对标准 ORM 和 Query Builder 方法做了安全封装，但漏洞往往出现在开发者“自以为安全”的误用场景中。
优先使用安全的链式更新方法
所有基于 where() + update() 或模型 save() 的写法，默认启用预编译和参数绑定，无需额外处理：
Db::name('user')->where('id', input('id'))->update(['status' => 1]);$user = new User(); $user->id = input('id'); $user->status = 1; $user->save();User::where('email', input('email'))->update(['last_login_time' => time()]);
这些调用底层均生成形如 UPDATE user SET status = ? WHERE id = ? 的预处理语句，用户输入始终作为参数传入，不会进入 SQL 字符串结构。
严防 whereRaw 和 raw 表达式中的陷阱
whereRaw() 是 ThinkPHP 6.3 中最常被滥用导致注入的入口——它直接跳过所有安全层，原样拼接 SQL 片段：
- ❌ 危险写法：
whereRaw("status = " . input('status'))、whereRaw("name LIKE '%" . input('q') . "%') - ✅ 安全替代：
where('status', input('status'))、where('name', 'like', '%' . input('q') . '%') - ✅ 必须用 whereRaw 时（如 JSON 查询）：
whereRaw('JSON_CONTAINS(tags, ?)', ['["php"]'])—— 显式传参触发绑定
注意：字段名、排序方向、表别名等标识符不能参数化，必须白名单校验。例如 input('order') 用于 ORDER BY，需先判断：$order = in_array(input('order'), ['id', 'name', 'create_time']) ? input('order') : 'id';
数值与布尔类型务必强制转换
即使看似是数字，也需显式转为整型或布尔型，防止攻击者利用类型松散绕过：
-
where('id', (int)input('id'))或where('id', intval(input('id'))) -
where('status', (bool)input('status'))（避免传入 '0'、'false'、'' 等非标准布尔值） -
limit((int)input('limit'), (int)input('offset'))防止 LIMIT 注入变体
检查 PDO 配置是否真正启用真实预编译
ThinkPHP 6.3 默认使用 PDO，但若数据库配置中 PDO::ATTR_EMULATE_PREPARES 为 true，即使写了占位符，底层仍会退化为字符串拼接：
- 确认配置中设置了：
'params' => [PDO::ATTR_EMULATE_PREPARES => false] - 验证方式：开启 MySQL general_log，观察日志中是否出现
WHERE id = ?（安全），而非WHERE id = 123（已退化）
生产环境部署前应强制关闭模拟预编译，这是参数绑定生效的前提。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
