ThinkPHP实现动态排序需严格白名单校验字段和方向，再以数组语法order(['field'=>'asc'])调用；禁止字符串拼接或Db::raw()；分页须appends透传参数，缓存键需包含排序字段与方向。
ThinkPHP 实现灵活切换排序规则，核心在于“用户可控但框架兜底”——字段和方向都必须经过白名单校验，再以安全方式传入 order()，不能拼接字符串或使用 Db::raw() 直接透传。
只允许预设字段参与排序
用户请求的排序字段（如 sort_field=id）不能直接信任。必须定义一个明确的白名单数组，比如：
['id', 'title', 'create_time', 'price', 'sort']- 用
in_array($field, $allowFields)判断合法性 - 不匹配时强制 fallback 到默认字段（如
id），避免空值或报错
方向参数必须严格限定为 asc 或 desc
排序方向（sort_dir）看似简单，但若放任用户输入，可能带入恶意子查询或延迟函数（如 desc, sleep(5)）。正确做法是：
- 只接受
'asc'和'desc'两个值 - 其他任何输入（包括空、大小写混写、多余空格）一律转为
'asc' - 校验后与字段组合成关联数组：
[$field => $dir]
务必使用数组语法调用 order()
ThinkPHP 的 order() 方法支持字符串和数组两种传参形式，但只有数组形式能自动给字段加反引号、规避保留字冲突，并阻止非法内容注入：
立即学习“PHP免费学习笔记（深入）”；
- ✅ 安全写法：
->order([$field => $dir])（TP 自动转义字段名） - ❌ 危险写法：
->order($field . ' ' . $dir)（无过滤、无转义、可注入） - ❌ 绝对禁止：
->order(Db::raw($field . ' ' . $dir))（等同于关闭所有防护）
分页与缓存需同步透传排序参数
用户切换排序后，点击下一页若丢失参数，体验就断了。关键两点：
- 分页对象需调用
appends(['sort_field' => $field, 'sort_dir' => $dir])，确保 URL 参数持续携带 - 若启用了查询缓存（如
cache()），缓存键必须包含排序字段和方向，否则不同排序结果会相互覆盖
