不能直接拼接$_GET['sort']到SQL的ORDER BY子句，因该子句不支持参数化查询，攻击者可注入恶意排序语句如“id DESC, (SELECT password FROM users LIMIT 1)”导致拖库；必须使用硬编码白名单校验字段名与方向，并严格清洗空格、换行等控制字符。
为什么不能直接拼接 $_GET['sort'] 到 SQL 的 ORDER BY
因为数据库会把未过滤的字符串原样执行，攻击者传入 id DESC, (SELECT password FROM users LIMIT 1) 就可能拖库。MySQL 允许 ORDER BY 后跟多个字段和函数，ORDER BY 子句不支持参数化查询（PDO 的 bindParam() 对它无效），所以必须靠白名单拦截非法值。
如何定义安全的排序字段白名单
白名单必须是硬编码的、明确允许的字段名 + 方向组合，不能从数据库元数据动态生成（元数据也可能被污染）。常见做法是拆成字段和方向两层校验，或直接枚举完整组合：
$allowedSorts = ['id ASC', 'id DESC', 'name ASC', 'created_at DESC'];- 接收参数后先检查是否在白名单中：
in_array($userInput, $allowedSorts, true) - 字段名本身也要限制为字母、数字、下划线（防止 `user.name` 或反引号绕过）：
preg_match('/^[a-zA-Z_][a-zA-Z0-9_]*$/', $field) - 方向只接受
ASC或DESC（全大写，避免大小写绕过）
实际拼接时怎么防空格/换行/注释注入
即使进了白名单，也要注意字符串拼接前的清洗。比如用户传入 "id%20ASC%0A--%20"（URL 编码后的换行加注释），urldecode() 后若不做 trim 和空白规范化，可能破坏白名单比对或引入意外字符：
- 统一用
trim($input)去首尾空白 - 用
str_replace(["\r", "\n", "\t"], ' ', $input)把控制符转为空格再 trim - 白名单比对前，确保输入是单行、无多余空格的格式，例如强制
preg_replace('/\s+/', ' ', $input) - 拼接到 SQL 时，仍要用反引号包裹字段名：
`{$field}` {$direction}，防止字段名含关键字（如order）出错
PDO 中使用白名单后的完整 SQL 拼接示例
不要试图用占位符替代排序部分，PDO 不支持。正确流程是：校验 → 清洗 → 拼接 → 执行：
立即学习“PHP免费学习笔记（深入）”；
$sort = $_GET['sort'] ?? 'id ASC';
$sort = trim(str_replace(["\r", "\n", "\t"], ' ', $sort));
$sort = preg_replace('/\s+/', ' ', $sort);
<p>$allowed = ['id ASC', 'id DESC', 'title ASC', 'created_at DESC'];
if (!in_array($sort, $allowed, true)) {
throw new InvalidArgumentException('Invalid sort parameter');
}</p><p>// 字段和方向分离（可选，便于日志或调试）
list($field, $direction) = explode(' ', $sort, 2);
$field = preg<em>replace('/[^a-zA-Z0-9</em>]/', '', $field); // 再兜底一次
$direction = strtoupper($direction) === 'DESC' ? 'DESC' : 'ASC';</p><p>$sql = "SELECT * FROM posts ORDER BY <code>{$field}</code> {$direction} LIMIT 20";
$stmt = $pdo->query($sql);</p>白名单逻辑看似简单，但最容易漏掉的是 URL 解码后的空白字符处理和字段名二次正则兜底——这两步缺一不可，否则白名单形同虚设。
