防SQL注入最硬底线是DBAL原生SQL必须用executeStatement()或executeQuery()+setParameters()参数化，禁绝字符串拼接；无法参数化的字段名、排序方向等须白名单校验，并禁用PDO模拟预处理。
直接用 Doctrine DBAL 的 executeStatement() 或 executeQuery() + setParameters()，别拼字符串——这是防 SQL 注入最硬的底线。
DBAL 原生 SQL 必须走参数化，不能手动拼接
DBAL 不会自动帮你过滤或转义变量，它只忠实执行你给的 SQL 字符串。一旦你把用户输入拼进 SQL 里，就等于把钥匙交给攻击者。
- ❌ 错误写法：
$sql = "SELECT * FROM users WHERE id = " . $_GET['id']; $conn->executeStatement($sql);—— 攻击者输1 OR 1=1就能拖库 - ✅ 正确写法：
$sql = "SELECT * FROM users WHERE id = :id"; $conn->executeStatement($sql, ['id' => $_GET['id']]); - ✅ 或链式写法：
$conn->executeQuery($sql)->setParameters(['id' => $_GET['id']])->fetchAllAssociative(); - 注意：
executeStatement()用于 INSERT/UPDATE/DELETE；executeQuery()用于 SELECT，返回Result对象
无法参数化的语法要素（如字段名、ORDER BY）必须白名单校验
DBAL 不支持对表名、字段名、排序方向、LIMIT 偏移量做参数绑定——数据库语法本身就不允许。这部分必须靠 PHP 层强约束，否则照样中招。
- 字段名/表名：预定义允许列表，再用
in_array($input, $allowedFields, true)校验，不通过直接拒绝 - 排序方向：
$dir = strtolower($request->query->get('sort_dir', 'asc')) === 'desc' ? 'DESC' : 'ASC';，然后拼进 SQL："ORDER BY name $dir" - LIMIT/OFFSET：必须用
(int)强转，且检查非负，例如：$limit = max(0, (int) $_GET['limit']); - IN 列表：别用
implode(',', $ids)拼字符串，改用setParameter('ids', $ids, Connection::PARAM_INT_ARRAY)
禁用 PDO 模拟预处理，但得确认驱动真支持
PDO::ATTR_EMULATE_PREPARES = false 是让预处理落到数据库原生支持的关键开关，但它不是万能的——如果底层驱动不真正支持（比如旧版 MySQLi），反而会报错或降级失效。
立即学习“PHP免费学习笔记（深入）”；
- 在 Doctrine 配置里加：
options: {PDO::ATTR_EMULATE_PREPARES: false} - 验证是否生效：查 MySQL 的
SHOW VARIABLES LIKE 'have_prepared_statement';，值为YES才可靠 - 若用 MariaDB 或新版 MySQL（8.0+），基本没问题；若还在用 MySQL 5.6 或更老版本，建议升级或明确测试
- 不加这行，PDO 默认开启模拟预处理，某些特殊字符组合仍可能绕过（比如含二进制数据的
\0）
DBAL 查询结果别直传模板，DTO 封装比转义更可靠
参数化只管“进库安全”，但“出库后怎么用”是另一层风险。DBAL 返回的是原始数组或对象，如果直接塞进 Twig 模板或 JSON 响应，XSS 或敏感信息泄露就来了。
- 别写：
return $this->json($conn->fetchAssociative($sql, $params));—— 如果字段含 HTML 或脚本，前端一渲染就 XSS - 该用 DTO：构造时就做脱敏，比如手机号存
138****1234，而不是等模板里用|substr处理 - 富文本字段必须过
HTMLPurifier，不能依赖|e—— Twig 的{{ content|e }}只防基础 HTML，不拦<img onerror=alert(1)> - 敏感字段（密码、token、身份证号）压根不该出现在 DBAL 查询结果里，查之前就用
SELECT id, name, email明确指定字段
最易被忽略的点：路由参数和查询参数看起来“干净”，但只要进了 SQL 字符串，就是潜在注入入口——哪怕它只是个 id，也得走 setParameter()；而字段名这类无法参数化的地方，白名单不是可选项，是强制项。
