Laravel默认通过PDO预处理参数绑定防SQL注入，where()、find()等标准方法天然安全；whereRaw()等裸SQL接口需手动绑定参数，动态表名/字段名须白名单校验。
Laravel 默认防 SQL 注入，前提是别绕过它的参数绑定机制——只要不手拼 SQL 字符串，就基本安全。
where()、find() 这类方法为什么天然安全
它们底层调用 PDO 预处理，所有传入的值都自动转为绑定参数，不会进 SQL 字符串。哪怕 $email 是 "admin' OR '1'='1"，生成的也是 WHERE email = ?，再把整个字符串当值塞进去。
-
User::where('email', $email)->first()✅ 安全 -
DB::table('users')->find($id)✅ 安全 -
DB::table('users')->where('status', $status)->update(['updated_at' => now()])✅ 安全 - 所有 Eloquent 和 Query Builder 的标准方法（
insert()、delete()、orderBy()等）都走绑定，无需额外处理
whereRaw() 和 selectRaw() 怎么写才不漏
这些是“裸 SQL”入口，框架不帮你绑定，必须手动指定参数。错在漏掉第二个参数数组，或用了双引号插值。
- ❌ 危险：
whereRaw("name = '{$name}'")—— 字符串拼接，直接执行 - ✅ 安全：
whereRaw('name = ?', [$name])—— 位置占位符 - ✅ 安全：
whereRaw('name = :name', ['name' => $name])—— 命名参数，适合多参数场景 - ⚠️ 注意：
whereRaw()里不能放表名、字段名、排序方向（如ASC/DESC），这些没法参数化，得用白名单校验
orWhere 混用时逻辑错乱，间接导致数据越权
orWhere() 不是“加一个 OR 条件”，而是重置当前 AND 分组优先级。不包闭包，前面的 where() 就被忽略。
- ❌ 错误：
where('status', 'active')->orWhere('role', 'admin')→ 生成WHERE status = ? OR role = ?，可能查出所有管理员，不管状态 - ✅ 正确：
where('status', 'active')->where(fn ($q) => $q->where('role', 'admin')->orWhere('access_level', '>=', 5))→ 明确包裹成AND (role = ? OR access_level >= ?) - ⚠️ 实际影响：不是注入漏洞，但会绕过业务权限判断，属于逻辑型安全缺陷
动态表名、字段名、排序字段怎么防
PDO 参数绑定对标识符（identifier）无效，? 或 :name 只能代入值，不能代入列名或表名。硬拼就是高危。
- ❌ 危险：
DB::table($table)->orderBy($field, $direction) - ✅ 白名单校验：
$allowedTables = ['users', 'posts']; if (!in_array($table, $allowedTables)) abort(403); - ✅ 强制类型转换：
orderBy('created_at', in_array($direction, ['asc', 'desc']) ? $direction : 'asc') - ✅ 使用 Laravel 内置校验辅助：
Str::of($field)->snake()->toString()配合白名单进一步过滤
最常被忽略的一点：DB::select()、DB::statement()、DB::unprepared() 这些原生执行接口，和 whereRaw() 一样，不自动绑定——只要带用户输入，就必须上参数数组，少一个括号就等于开后门。
