whereBetween对时间字段需传入完整datetime字符串而非仅日期，否则因字符串比较失效；动态字段名必须白名单校验防SQL注入；whereTime会截断时分秒致查询遗漏且索引失效；数值字段查询须手动类型转换避免隐式转换错误。
whereBetween 用不对，时间范围查不到数据
ThinkPHP 的 whereBetween 看似直接支持区间查询，但实际只对数据库字段原值生效，不兼容格式化后的时间（比如 created_at 是字符串 '2024-01-01'，而你传的是 strtotime('2024-01-01') 这种整型），就会静默失效。
常见错误现象：whereBetween('created_at', ['2024-01-01', '2024-01-31']) 在 MySQL 中查不到——因为数据库里存的是 '2024-01-01 10:20:30'，而字符串比较时 `'2024-01-01' 成立，但如果你的字段是 DATE 类型，或用了 date() 函数转换，就容易错位。
- 真正安全的做法是统一转成数据库可比格式：用
whereTime查日期字段，它会自动处理Y-m-d到Y-m-d 00:00:00和Y-m-d 23:59:59的闭区间 - 数值区间（如价格、积分）才放心用
whereBetween('price', [100, 500])，前提是字段类型是INT或DECIMAL，且没被 cast 成字符串 - 如果必须用字符串时间做 between，显式补全时分秒：
['2024-01-01 00:00:00', '2024-01-31 23:59:59']，并确保字段类型和索引支持范围扫描
动态字段名拼接导致 SQL 注入风险
用户传来的搜索字段名（比如 search_field=amount）如果直接拼进 where($field, '>=', $value)，就等于把变量当字段名用，ThinkPHP 不校验字段合法性，$field = 'status); DROP TABLE user; -- ' 这类攻击就能绕过。
使用场景：后台搜索表单允许用户选“按创建时间”“按金额”“按状态”筛选，字段名来自前端下拉选项。
立即学习“PHP免费学习笔记（深入）”；
- 必须白名单校验字段名：
in_array($field, ['create_time', 'amount', 'status'], true)，硬编码，别从数据库读或配置里动态加载 - 别用字符串拼接条件：
"{$field} >= {$value}"是高危写法；应始终走 Query 构建器的参数化接口 - 如果字段带表别名（如
user.amount），白名单也要包含完整字符串，不能只校验末尾amount
whereTime 处理 datetime 字段时默认忽略时分秒
whereTime('create_time', 'between', ['2024-01-01', '2024-01-31']) 在 ThinkPHP 6.0+ 中，会对 datetime 字段自动截断为日期比较，即等价于 BETWEEN '2024-01-01 00:00:00' AND '2024-01-31 00:00:00'，最后一天的 10:30:45 就查不到。
性能影响：这种隐式截断会让 MySQL 无法使用 create_time 字段上的索引（除非加函数索引），查询变慢。
- 要查满全天，手动补时分秒：
whereTime('create_time', 'between', ['2024-01-01 00:00:00', '2024-01-31 23:59:59']) - 更稳妥的方式是放弃
whereTime，改用whereRaw配合STR_TO_DATE或直接传时间戳：where('create_time', '>=', strtotime('2024-01-01')) - 注意时区：PHP 的
strtotime默认用服务器时区，MySQL 的NOW()可能是 UTC，前后端时间基准不一致会导致范围偏移
数值区间搜索时 type_cast 导致条件失效
模型定义了 protected $type = ['amount' => 'integer'];，但用户提交的是字符串 '100'，ThinkPHP 会在写入时转整型，却**不会在查询条件中自动转换**。结果 where('amount', '>=', '100') 发送到数据库仍是字符串比较，MySQL 会把 '100' 当字符，可能触发隐式类型转换，索引失效甚至逻辑错误。
兼容性影响：MySQL 8.0 严格模式下，WHERE amount >= '100' 若 amount 是 INT，会报 warning 并强制转，但低版本可能静默走错执行计划。
- 查询前主动类型转换：
where('amount', '>=', (int) $input)，别依赖模型 type 定义 - 用
whereBetween时同样要确保两个边界值都是数字类型，[100, 500]而不是['100', '500'] - 前端传参建议加 JSON Schema 校验，后端收到立即 cast，避免字符串一路透传到 Query 层
动态搜索最麻烦的不是写法，而是字段语义和数据库类型的隐式耦合——同一个字段，在列表页要按天查，在导出页要按秒查，在统计页又要转成月份聚合，每个场景对“区间”的理解都不一样。别省那几行代码去自动推断，明确告诉框架你要什么格式、什么精度、什么时区。
