ThinkPHP动态排序必须在查询链式调用中、paginate()前使用order()数组语法（如['field' => 'asc']）并配合白名单校验字段和方向，禁止静态配置或字符串拼接，分页需appends透传参数且缓存key须包含排序条件。
ThinkPHP 的动态排序不能靠模型静态配置实现，必须在查询构建阶段实时处理用户偏好，核心是安全校验 + 正确调用 order()，且必须在分页前执行。
动态排序必须在查询链式调用中设置
模型类里的 $defaultOrder 或 initialize() 中调用 order() 无效——框架不会读取这些设置。真正生效的位置只有查询发起时：
- 使用
Model::where(...)->order(...)->paginate()形式，order()必须出现在paginate()之前 - 推荐封装成可复用方法，比如在控制器或服务类中定义
applyUserOrder($query, $request)，接收查询对象并返回修改后的实例 - 若用 Query Scope，可在模型中加
scopeUserOrder方法，接收查询对象和偏好数组，直接操作查询对象本身（不返回数据）
字段和方向必须白名单硬校验
用户传来的 sort_field 和 sort_dir 是不可信输入，未经校验直接进 order() 会导致 SQL 注入或语法错误：
- 允许的字段应硬编码在白名单数组里，例如
['id', 'create_time', 'username', 'status']，用in_array()判断是否合法 - 方向只接受
'asc'或'desc'，其他值一律 fallback 到默认方向（如'id desc'） - 禁止字符串拼接写法：
order($field . ' ' . $dir)—— 即使字段已校验，组合后仍可能触发解析歧义或注入 - 必须用数组语法：
order([$field => $dir])，TP 6+ 会自动为字段加反引号，避免保留字报错
分页与参数透传要同步处理
启用分页后，用户选择的排序参数容易丢失，导致翻页后恢复默认排序：
立即学习“PHP免费学习笔记（深入）”；
-
paginate()后需调用appends()显式携带当前排序参数，例如->appends(['sort_field' => $field, 'sort_dir' => $dir]) - 若支持缓存，缓存 key 必须包含排序字段和方向，否则不同排序结果可能命中同一缓存
- 前端表头点击排序时，建议用 GET 参数传递，便于浏览器前进/后退和书签保存
多字段排序统一用关联数组
需要按多个字段分级排序（如先按状态升序，再按创建时间降序），不能拆成多次 order() 调用：
- 正确写法：
order(['status' => 'asc', 'create_time' => 'desc']) - 错误写法：
order('status asc')->order('create_time desc')—— 后者会覆盖前者 - 数组写法天然支持字段名转义，也避免手动处理空格、逗号、大小写等易错细节
