ThinkPHP动态字段搜索需用白名单校验字段名并透传分页参数：先定义$allowFields数组，用in_array()或array_intersect()校验input('field')；多字段OR搜索用闭包+whereOr()；分页须手动设置query参数保留field和keyword；Db::name()比Model更适频繁变动字段场景。
ThinkPHP模型中如何用变量控制搜索字段
不能直接把变量当字段名拼进where()，否则会触发SQL注入或字段不存在错误。ThinkPHP的查询方法要求字段名是确定字符串，不是运行时拼接的变量值。
正确做法是预先定义合法字段白名单，再用in_array()校验用户传入的字段名是否在其中：
$allowFields = ['username', 'email', 'mobile', 'status'];
$searchField = input('field', 'username');
if (!in_array($searchField, $allowFields)) {
$searchField = 'username'; // 默认回退
}
$result = User::where($searchField, 'like', '%' . input('keyword', '') . '%')->select();
- 必须校验字段名，不能信任
input('field')的原始值 - 白名单要和数据库真实字段严格一致（大小写敏感）
- 避免用
__TABLE__或__FIELD__这类模糊占位符，ThinkPHP不支持运行时解析
多个字段联合搜索时怎么动态选字段组合
用户想“在用户名或邮箱中搜关键词”，本质是构建OR条件，但字段列表是动态的。直接用whereOr()链式调用容易出错，推荐用闭包构造：
$fields = input('fields/a', ['username', 'email']);
$allowFields = ['username', 'email', 'mobile'];
$fields = array_intersect($fields, $allowFields); // 取交集过滤非法项
$keyword = input('keyword', '');
$result = User::where(function ($query) use ($fields, $keyword) {
foreach ($fields as $field) {
$query->whereOr($field, 'like', "%{$keyword}%");
}
})->select();
-
array_intersect()比in_array()循环更安全，能一次过滤整个数组 - 闭包内必须用
whereOr()，不能用orWhere()（后者会污染全局查询） - 空
$fields数组会导致闭包内无条件，查出全表——需提前判断if (empty($fields)) { return []; }
搜索字段切换后分页失效或条件丢失怎么办
分页对象Paginator默认只保留where条件中的键值对，但动态字段名是变量，不会被自动带入分页URL参数。结果就是点下一页时field和keyword丢失。
立即学习“PHP免费学习笔记（深入）”；
必须手动合并参数：
$list = User::where($searchField, 'like', "%{$keyword}%")
->paginate(15, false, [
'query' => [
'field' => $searchField,
'keyword' => $keyword,
]
]);
-
query参数是关键，漏掉就无法维持搜索上下文 - 如果用了
with()关联查询，分页仍有效；但join()后需注意字段别名冲突 - 前端表单的
<select name="field">和<input name="keyword">必须和query里键名完全一致
为什么用Db::name()比Model更适合动态字段场景
模型类有硬编码的protected $schema或自动读取的字段缓存，遇到新增字段或临时视图字段时，可能因缓存未更新导致where()报“字段不存在”。而Db::name()绕过模型层，直连查询构造器，字段检查更宽松。
$result = Db::name('user')
->where($searchField, 'like', "%{$keyword}%")
->where('status', 1)
->select();
- 适合后台管理类系统，字段频繁变动、或需跨表拼字段的场景
- 失去模型的自动类型转换和事件钩子，如
datetime字段不会自动转Carbon实例 - 若需复用模型验证规则，建议仍走模型，但加
->force(true)跳过字段检查（仅限确认字段存在时）
动态字段最麻烦的不是写法，而是字段名校验和分页参数透传——这两处漏掉一个，功能就不可用。别省那几行in_array()和query配置。
