ThinkPHP多字段排序应使用二维数组写法→order([['status','desc'],['sort','asc'],['id','desc']])，避免字符串拼接风险，需白名单校验用户输入，并为关联字段加表别名。
ThinkPHP 实现多字段排序，核心是正确使用 order() 方法，并避开常见兼容性与安全陷阱。它不靠模型属性自动生效，必须显式调用，且参数写法直接影响结果是否稳定、是否被覆盖、是否引发 SQL 错误。
推荐写法：用二维数组明确字段与方向
TP6/TP8 官方最稳妥的多字段排序方式是传入二维数组，每个子数组包含字段名和排序方向，顺序即优先级：
->order([['status', 'desc'], ['sort', 'asc'], ['id', 'desc']])- 字段名与方向一一对应，不会因键名重复被覆盖（对比一维关联数组
['status'=>'desc','sort'=>'asc']在旧版本中可能失效） - 最后一个字段建议选唯一字段（如
id），避免分页时相同值导致顺序不一致
慎用字符串写法，尤其涉及用户输入或特殊字符
虽然 ->order('status DESC, create_time ASC') 能跑通，但风险明显：
- 字段含空格、点号（如
user.name）、SQL 关键字（如order）时，必须手动加反引号：`user`.`name` DESC，漏一个就报错 - 用户可控字段（如 URL 中的
sort=xxx）若直接拼接，极易触发 SQL 注入 - TP5.1 后期及 TP6 全面支持数组写法，没必要冒险用字符串
动态排序必须白名单校验
前端传参决定排序字段和方向时，绝不能无条件信任：
立即学习“PHP免费学习笔记（深入）”；
- 定义允许字段映射：
$allowFields = ['id' => 'id', 'title' => 'title', 'status' => 'status', 'create_time' => 'create_time']; - 校验后组装：
$field = input('sort_field', 'id'); $type = in_array(input('sort_type'), ['asc', 'desc']) ? input('sort_type') : 'desc'; $order = [$field => $type]; - 再传入：
->order($order)—— 这样既灵活又安全
关联查询或多表排序要指定来源
用了 join() 或跨表字段时，容易报 Column 'xxx' in order clause is ambiguous：
- 字段必须带表别名，如
->order(['user.status' => 'desc', 'profile.level' => 'asc']) - TP6.1+ 可用
orderRaw()写原生表达式：->orderRaw('`user`.`id` DESC, `profile`.`level` ASC') - 若用
with()预加载，order()默认只作用于主表；需排序关联字段，应改用join()或 PHP 层二次处理（仅限小数据量）
