Doctrine原生SQL正确执行需用$em->getConnection()->executeStatement()参与事务，参数仅支持?占位符；SELECT用fetchAssociative等安全方法，禁用已弃用的fetchAllAssociative()；标识符须白名单校验或quoteIdentifier()转义；调存储过程应配合ResultSetMapping与addScalarResult()实现标量映射。
Doctrine原生SQL不是“绕开ORM”的权宜之计，而是精准控制底层数据操作的必要手段——关键在于写法合规、参数安全、事务一致、结果可控。
正确执行原生SQL（INSERT/UPDATE/DELETE）
用 $em->getConnection()->executeStatement()，它自动参与当前事务，不破坏ORM一致性：
- 参数必须用 ? 占位符，按顺序传数组，如：
['active', 123] - 命名参数（
:status）在原生SQL中不会被自动识别，需配合executeQuery($sql, $params, $types)显式指定类型 - 严禁字符串拼接，例如
"WHERE id = $id"—— 这是SQL注入高危写法 - 执行后若后续要查同一实体，建议调用
$em->getUnitOfWork()->clear()或$em->detach($entity)避免返回脏数据
安全查询并获取结果集（SELECT）
根据返回需求选对方法，避免用已弃用的 fetchAllAssociative()：
- 查单行关联数组 → 用
$connection->fetchAssociative($sql, $params) - 查多行关联数组 → 用
$connection->fetchAllAssociative($sql, $params) - 只取一个字段值（如统计数）→ 用
$connection->fetchOne($sql, $params) - 需要映射列名到自定义键（如调存储过程）→ 用 ResultSetMapping + createNativeQuery()，配合
addScalarResult('col_name', 'key_name')
动态标识符（表名/字段名）怎么处理
问号占位符只能绑定值，不能绑定表名、字段名或 ORDER BY 子句：
- 白名单校验最稳妥：提前定义允许的表名数组，用
in_array($table, $allowedTables, true)判断 - DBAL 提供
quoteIdentifier()转义单个标识符，如：$connection->quoteIdentifier('user.status')→`user`.`status`（MySQL） - 动态
ORDER BY字段必须限制为预设组合，如['created_at ASC', 'name DESC']，不可直接拼接用户输入
调用存储过程的现代写法
弃用 prepare() → execute() → fetchAllAssociative() 链式调用，改用结构化映射：
- 创建
ResultSetMapping实例 - 对每个返回列调用
$rsm->addScalarResult('db_col', 'php_key') - 用
$em->createNativeQuery($sql, $rsm)->setParameters([...])->getArrayResult() - 这样既兼容 Doctrine 类型系统，又支持未来版本升级，还能清晰控制输出结构
