直接拼接字符串构建SQL在PHP中极危险，因无法安全处理字段名、表名、排序方向等非数据类动态部分，仅靠转义函数无法覆盖所有注入点，且易导致逻辑混乱与维护困难。
为什么直接拼接字符串构建SQL在PHP里很危险
硬编码 SQL 字符串或用 sprintf、str_replace 拼接，几乎必然引入 SQL 注入漏洞。哪怕加了 mysqli_real_escape_string，也容易漏掉字段名、表名、排序方向（ASC/DESC）这类无法转义的语法片段。更麻烦的是，条件分支一多，嵌套 if 和字符串累加会让逻辑难以维护和测试。
- 动态字段名、表名、排序字段必须走白名单校验，不能依赖用户输入
- 所有用户可控的值（
WHERE 条件、IN 列表、LIMIT 参数）必须绑定参数（PDO 的 bindValue 或 bindParam）
- 构建器本身不执行查询，只负责生成结构化语句 + 参数数组，把执行权交给调用方
用 PHP 实现轻量级 SQL 构建器的核心结构
不需要引入完整 ORM，一个带链式调用的类就能覆盖大多数场景。关键在于把 SQL 片段拆成可组合、可覆盖、可验证的组件：
-
select() 接受字段数组，自动去重并过滤非法字符（如反引号、分号），保留 count(*) 这类聚合表达式
-
from() 强制要求表名在预设白名单内（例如 ['users', 'orders', 'products']），否则抛出 InvalidArgumentException
-
where() 支持两种调用：单条件 where('status', '=', 'active') → 生成 status = ?；多条件数组 where(['status' => 'active', 'deleted_at' => null]) → 自动转为 AND 连接
-
orderBy() 对第二个参数做枚举限制：in_array($direction, ['ASC', 'DESC'], true)，防止注入 ASC; DROP TABLE users
class SqlBuilder {
private $select = ['*'];
private $from = '';
private $where = [];
private $params = [];
private $orderBy = [];
<pre class='brush:php;toolbar:false;'>public function select(...$fields) {
$this->select = array_unique($fields);
return $this;
}
public function from(string $table) {
$allowed = ['users', 'posts', 'comments'];
if (!in_array($table, $allowed)) {
throw new InvalidArgumentException("Table '$table' not allowed");
}
$this->from = $table;
return $this;
}
public function where($column, $operator = '=', $value = null) {
if (is_array($column)) {
foreach ($column as $k => $v) {
$this->where($k, '=', $v);
}
return $this;
}
$this->where[] = "$column $operator ?";
$this->params[] = $value;
return $this;
}
public function getSql(): string {
$sql = "SELECT " . implode(', ', $this->select);
$sql .= " FROM `{$this->from}`";
if (!empty($this->where)) {
$sql .= " WHERE " . implode(' AND ', $this->where);
}
if (!empty($this->orderBy)) {
$sql .= " ORDER BY " . implode(', ', $this->orderBy);
}
return $sql;
}
public function getParams(): array {
return $this->params;
}
WHERE 条件、IN 列表、LIMIT 参数）必须绑定参数（PDO 的 bindValue 或 bindParam）-
select()接受字段数组，自动去重并过滤非法字符（如反引号、分号），保留count(*)这类聚合表达式 -
from()强制要求表名在预设白名单内（例如['users', 'orders', 'products']），否则抛出InvalidArgumentException -
where()支持两种调用：单条件where('status', '=', 'active')→ 生成status = ?；多条件数组where(['status' => 'active', 'deleted_at' => null])→ 自动转为AND连接 -
orderBy()对第二个参数做枚举限制：in_array($direction, ['ASC', 'DESC'], true)，防止注入ASC; DROP TABLE users
class SqlBuilder {
private $select = ['*'];
private $from = '';
private $where = [];
private $params = [];
private $orderBy = [];
<pre class='brush:php;toolbar:false;'>public function select(...$fields) {
$this->select = array_unique($fields);
return $this;
}
public function from(string $table) {
$allowed = ['users', 'posts', 'comments'];
if (!in_array($table, $allowed)) {
throw new InvalidArgumentException("Table '$table' not allowed");
}
$this->from = $table;
return $this;
}
public function where($column, $operator = '=', $value = null) {
if (is_array($column)) {
foreach ($column as $k => $v) {
$this->where($k, '=', $v);
}
return $this;
}
$this->where[] = "$column $operator ?";
$this->params[] = $value;
return $this;
}
public function getSql(): string {
$sql = "SELECT " . implode(', ', $this->select);
$sql .= " FROM `{$this->from}`";
if (!empty($this->where)) {
$sql .= " WHERE " . implode(' AND ', $this->where);
}
if (!empty($this->orderBy)) {
$sql .= " ORDER BY " . implode(', ', $this->orderBy);
}
return $sql;
}
public function getParams(): array {
return $this->params;
}}
PDO 执行时如何安全绑定参数
构建器只管生成 SQL 和参数数组，执行必须交由 PDO 完成，且不能用 query() —— 必须用 prepare() + execute()：
-
getParams() 返回的数组顺序必须严格匹配 SQL 中 ? 出现的顺序
- 如果需要命名占位符（比如
:status），构建器内部就得改用 array_keys + array_values 分离键值，但会增加复杂度；多数场景用问号足够
- 注意
IN 子句：不能直接 where('id', 'IN', [1,2,3])，得动态生成对应数量的 ? 占位符，并展开参数数组
getParams() 返回的数组顺序必须严格匹配 SQL 中 ? 出现的顺序:status），构建器内部就得改用 array_keys + array_values 分离键值，但会增加复杂度；多数场景用问号足够IN 子句：不能直接 where('id', 'IN', [1,2,3])，得动态生成对应数量的 ? 占位符，并展开参数数组例如处理 IN：
$ids = [101, 102, 103];
$placeholders = str_repeat('?,', count($ids) - 1) . '?';
$builder->where("id IN ($placeholders)", null, ...$ids);
哪些地方最容易被忽略而引发问题
- 表别名没做白名单校验：攻击者传入 users AS u; DROP TABLE logs，虽然主表名合法，但别名部分仍可能破坏语法或执行恶意操作
- ORDER BY 字段未限制：允许用户传 created_at DESC, (SELECT password FROM users LIMIT 1)，造成数据泄露
- 构建器复用时状态未重置：同一个实例连续调用 select() 多次，第二次会覆盖第一次，但 where() 是追加 —— 行为不一致，容易误用
- 没提供 debug() 方法：上线前难排查生成的 SQL 是否符合预期，建议加个 dump() 输出当前 SQL 和参数示例
真正难的不是写出能拼 SQL 的类，而是守住字段/表/操作符的校验边界。一旦放松某一处白名单，整个构建器就退化成高级字符串拼接工具。
