ThinkPHP需通过information_schema.COLUMNS查询实现安全数据字典接口，因SHOW命令在云数据库常被禁用；接口须过滤TABLE_SCHEMA防跨库泄露，手动提取注释等字段，并添加权限校验与缓存。
ThinkPHP 本身不提供开箱即用的「数据字典接口」，但你可以用几行代码快速暴露一个可访问、带权限控制、返回结构化表字段信息的 HTTP 接口。核心在于：别写页面渲染逻辑，直接查 information_schema，用 JSON 输出，且必须避开 SHOW 类语句在某些云数据库（如阿里云 RDS）上的权限限制。
为什么不能直接用 SHOW FULL COLUMNS 做接口？
很多生产环境 MySQL 实例禁用了 SHOW 命令（尤其云厂商默认策略），导致 Db::query("SHOW FULL COLUMNS FROM user") 直接报错 ERROR 1142: SHOW command denied。这时必须改走 information_schema.COLUMNS 查询路径，它依赖 SELECT 权限，更可控。
- 优先查
information_schema.COLUMNS+information_schema.TABLES，而非SHOW系列命令 - 注意
TABLE_SCHEMA字段要显式过滤，避免跨库泄露 - 字段注释（
COLUMN_COMMENT）和表注释（TABLE_COMMENT）都得手动提取，不能依赖SHOW CREATE TABLE
Db::name('')->getFields() 能不能直接用？
不能直接用于接口。这个方法只返回基础字段名、类型、长度等，**不包含注释、是否为主键、是否自增、默认值表达式等关键字典信息**，而且它底层仍可能触发 SHOW COLUMNS，在受限环境会失败。
- 它返回的是 ThinkPHP 内部字段映射数组，不是标准数据字典字段集
- 缺少
COLUMN_COMMENT（开发写的字段说明）、EXTRA（如 auto_increment）、IS_NULLABLE等必需项 - 若需兼容 TP5.1 / TP6.x，建议统一走原生查询，避免框架版本差异导致字段缺失
怎样写一个安全可用的数据字典接口？
以 ThinkPHP 6.x 为例，在控制器中定义一个方法，返回指定表或全部表的字典 JSON：
立即学习“PHP免费学习笔记（深入）”；
public function dict()
{
$table = $this->request->param('table', '');
$db = config('database.connections.mysql.database');
$sql = "SELECT
t.TABLE_NAME,
t.TABLE_COMMENT,
c.COLUMN_NAME,
c.COLUMN_TYPE,
c.IS_NULLABLE,
c.COLUMN_DEFAULT,
c.COLUMN_COMMENT,
c.EXTRA,
c.COLUMN_KEY
FROM information_schema.COLUMNS c
INNER JOIN information_schema.TABLES t
ON c.TABLE_NAME = t.TABLE_NAME AND c.TABLE_SCHEMA = t.TABLE_SCHEMA
WHERE c.TABLE_SCHEMA = ?
AND t.TABLE_SCHEMA = ?";
$params = [$db, $db];
if ($table) {
$sql .= " AND c.TABLE_NAME = ?";
$params[] = $table;
}
$sql .= " ORDER BY c.TABLE_NAME, c.ORDINAL_POSITION";
$data = Db::query($sql, $params);
// 按表聚合
$result = [];
foreach ($data as $row) {
$t = $row['TABLE_NAME'];
if (!isset($result[$t])) {
$result[$t] = [
'table_comment' => $row['TABLE_COMMENT'],
'fields' => []
];
}
$result[$t]['fields'][] = [
'name' => $row['COLUMN_NAME'],
'type' => $row['COLUMN_TYPE'],
'nullable' => $row['IS_NULLABLE'] === 'YES',
'default' => $row['COLUMN_DEFAULT'],
'comment' => $row['COLUMN_COMMENT'],
'extra' => $row['EXTRA'],
'key' => $row['COLUMN_KEY']
];
}
return json(array_values($result));
}
- 该接口支持
?table=user单表查询，也支持无参查全部表 - 所有参数通过
Db::query()绑定传入，杜绝 SQL 注入风险 - 返回结构清晰：每张表一个对象，含
table_comment和标准化字段数组 - 务必在中间件中加权限校验（如仅允许内网 IP 或登录态 Admin 角色访问）
接口上线前最容易被忽略的三点
很多人测通就上线，结果第二天就被扫出问题：
- 没关调试模式：
app_debug = true时，错误堆栈可能泄露数据库账号、路径等敏感信息 - 没设访问频率限制：单次请求查全库
information_schema可能拖慢主库，建议加Cache::remember()缓存 10 分钟 - 没处理空注释字段：
COLUMN_COMMENT为NULL时 PHP JSON 编码会变成null，前端容易误判，建议统一转为空字符串
