ThinkPHP中排序必须使用order()方法在查询阶段完成，不可在事件中处理；推荐用数组方式如['status' => 'desc', 'create_time' => 'asc']，安全兼容、自动转义、支持关联字段，配合白名单校验防SQL注入。
ThinkPHP 本身没有“事件排序”这个概念——你真正要做的，是给查询加 order()，而不是在事件里写排序逻辑。事件（event）只负责触发动作，不参与数据组织；排序必须落在数据库查询阶段，否则就是把压力甩给 PHP 数组，性能差、分页错、关联字段失效。
order() 传数组还是字符串？优先用数组
传字符串如 'status desc, create_time asc' 看似简洁，但字段名没转义，遇上用户输入或带点号的关联字段（比如 'user.status'）就直接报 SQLSTATE[42S22]: Column not found。数组方式自动处理字段包裹和顺序：['status' => 'desc', 'create_time' => 'asc'] 不仅安全，还能自然兼容 TP5.1 后期和 TP6。
- 字段含点号（
'user.name'）或反引号（'`user`.`name`'）时，字符串写法必须手动加，漏一个就崩；数组写法直接认字段名，底层自动加反引号 - 用模型关联（
with('user')）时，字符串写法无法跨表解析字段，order('user.status desc')会报错；得改用视图或子查询，而数组写法配合view()或join()更可控 - TP5.1 默认支持字符串，但字段名不能含空格、逗号、SQL 关键字；数组无此限制
用户可选排序字段时，白名单校验不能省
别信“前端传什么我就排什么”。order() 不做字段合法性检查，用户传 id, (SELECT password FROM think_user) 就真执行。必须先映射、再校验：
- 定义白名单：
$allowFields = ['id' => 'id', 'title' => 'title', 'status' => 'status', 'create_time' => 'create_time']; - 取参后判断：
$field = input('sort_field', 'id'); $sort = in_array($field, array_keys($allowFields)) ? $allowFields[$field] : 'id'; - 方向只认
asc/desc：$direction = in_array(input('sort_type'), ['asc', 'desc']) ? input('sort_type') : 'desc'; - 最终传入：
->order([$sort => $direction])，不用Db::raw()，也不拼字符串
在搜索器（searchXXXAttr）里做排序要注意分页保持
用 searchCreateTimeAttr() 这类方法接收 GET 参数做排序时，点击“创建时间”切换方向，默认会丢失当前页码，跳回第一页。这不是搜索器的问题，而是 URL 没保留原有参数。
立即学习“PHP免费学习笔记（深入）”；
- 前端链接要带上当前所有 query 参数，比如：
{:url('user/index', ['create_time' => $orderRule, 'page' => input('page', 1)])} - 或者用
request()->url()拼接，把原 URL 的page提出来再塞回去，避免手动列所有参数 - 搜索器内部只管加
order()，别在里面调paginate()或改分页参数——分页应由控制器统一控制
最常被忽略的一点：排序字段来自关联模型时，order() 数组写法仍需确保字段物理存在。比如 with('user') 后想按 user.nickname 排序，必须显式 join('think_user user ON user.id = article.user_id')，否则数据库根本不知道 user.nickname 是哪来的——这不是 ThinkPHP 的 bug，是 SQL 本身的约束。
