ThinkPHP模型orderBy传入用户输入字段易被绕过，因order()默认不校验字段合法性且支持复合表达式；必须用模型静态白名单校验字段名，并采用数组写法order(['field'=>'asc'])防注入。
ThinkPHP 模型 orderBy 传入用户输入字段时为什么报错或被绕过？
直接用用户传来的 sort_field 做 orderBy，哪怕加了 in_array 判断，也极可能被绕过——因为 ThinkPHP 的 order() 方法默认不校验字段合法性，且支持复合表达式（如 id DESC, name ASC），攻击者可注入函数、子查询甚至注释符。
常见错误现象：SQLSTATE[42S22]: Column not found: 1054 Unknown column 'id; DROP TABLE user' in 'order clause'（虽不一定真执行，但说明解析已失控）；或看似正常排序，实则字段名被拼进 SQL 未过滤，触发报错回显或盲注。
- 必须把排序字段从用户输入中剥离出来，只保留“纯字段名”部分，丢弃方向（
ASC/DESC）和逗号分隔的多字段 - 方向参数应单独由白名单控制（如
['asc', 'desc']），不能从字段字符串里解析 - ThinkPHP 6.x 的
order()支持数组写法：['id' => 'asc']，比字符串更安全，优先用它
如何构建安全的排序字段白名单（不是硬编码在控制器里）
白名单不能写死在方法里，否则每次加新字段都要改逻辑；也不该从数据库元信息实时读取（性能差、权限失控）。最稳妥的是在模型类里定义静态白名单属性，既集中又可控。
使用场景：列表接口支持按 title、created_at、status 排序，但禁止按 password_hash 或 updated_at（敏感/非索引字段）。
立即学习“PHP免费学习笔记（深入）”；
- 在模型中定义
protected static $sortableFields = ['title', 'created_at', 'status']; - 控制器里先取用户输入的
$field = input('sort_field/s', 'id');，再用in_array($field, static::$sortableFields)校验 - 注意：字段名需与数据库列名完全一致（区分大小写），别用驼峰或下划线自动转换，避免校验失效
ThinkPHP 6 的 order() 数组写法怎么防注入？
字符串形式的 order('name desc') 本质是拼 SQL，无法阻止恶意内容；而数组写法 order(['name' => 'desc']) 会走 PDO 参数绑定逻辑（字段名仍需白名单，但值被安全转义）。
性能影响几乎为零，兼容性上 TP6.0+ 全支持，TP5.1 需升级到 5.1.40+ 才稳定支持数组 order。
- 正确写法：
$model->where($where)->order([$safeField => $safeSort])->select(); - 错误写法：
$model->order("$safeField $safeSort")—— 即使字段校验过，空格+方向组合仍可能触发语法歧义 - 若需多字段排序，用二维数组：
['created_at' => 'desc', 'id' => 'asc']，每个键都必须过白名单
为什么用 Db::raw() 或闭包写 order 很危险？
有人为了支持函数排序（如 ORDER BY LENGTH(title)）直接上 Db::raw()，这就等于主动打开注入大门。ThinkPHP 不会对 raw 内容做任何过滤，字段、函数、括号全由你负责。
真实案例：前端传 sort_field=length(name)--，后端没清洗就塞进 Db::raw("LENGTH($input)")，结果生成 LENGTH(length(name)--) ASC，语法错误暴露后端结构。
- 函数类排序应提前约定好白名单（如只允许
length、lower），再拼进固定模板：Db::raw("LENGTH({$safeField})") - 永远不要把用户输入直接放进
Db::raw()，哪怕加了htmlspecialchars也没用——那是 HTML 层，SQL 层早解析完了 - 如果业务真需要动态函数排序，建议拆成多个固定接口（
/list?sort=length_title），而非一个万能字段
字段白名单本身不难，难的是每处 order 调用都得走同一套校验逻辑，漏一处就前功尽弃。最容易被忽略的是关联查询里的 with(['relation' => function ($q) { $q->order(...); }]) —— 这里的 order 同样要校验，但往往没人想起来。
