ThinkPHP排序必须在查询阶段用order()完成，推荐数组写法防SQL注入，动态排序需白名单校验，多字段用二维数组避免覆盖，NULL排序和随机取数用orderRaw()，注意paginate()前调用及关联字段存在性。
ThinkPHP 的排序必须在查询阶段通过 order() 方法完成，不能放到事件或 PHP 层二次处理——这是最核心的前提。调用方式看似简单，但细节决定是否生效、是否安全、是否兼容。
基础写法：字符串 vs 数组，推荐后者
字符串写法如 ->order('id desc, status asc') 虽然直观，但字段名不自动加反引号，遇到关键字（如 order、group）或带点号的关联字段（如 user.name）时容易报错；更严重的是，若字段来自用户输入，直接拼接极易引发 SQL 注入。
- 数组写法更安全：
->order(['id' => 'desc', 'status' => 'asc'])，TP 自动转义字段名，语义清晰，兼容性好 - 字段名不含表别名（如
user.id），否则会找不到列；多表场景需用orderRaw()或显式加别名限定 - 未指定方向时默认为
asc，但建议显式写出，避免歧义
动态排序：白名单校验是底线
用户可选排序字段和方向时，绝不能直接拼接参数。必须先过滤再构造。
- 定义允许字段白名单：
$allowFields = ['id', 'create_time', 'price', 'sort'] - 校验输入：
$field = in_array($request->param('field'), $allowFields) ? $request->param('field') : 'id' - 方向只认
asc或desc，其他一律 fallback：$dir = in_array($request->param('dir'), ['asc','desc']) ? $request->param('dir') : 'desc' - 最终调用：
->order([$field => $dir])
多字段与特殊排序场景
多个字段排序优先级按传入顺序执行，但要注意 NULL 值位置、索引匹配和分页一致性。
立即学习“PHP免费学习笔记（深入）”；
- 二维数组写法更稳妥：
->order([['sort', 'asc'], ['id', 'desc']])，避免早期版本键名覆盖问题 - 需要控制 NULL 排序（比如把 NULL 放最后）：
->orderRaw('sort IS NULL, sort ASC') - 按 ID 列表原始顺序查数据：
->orderRaw('FIELD(id, ' . join(',', $idList) . ')') - 随机取一条：
->orderRaw('rand()')
常见失效原因和避坑点
order() 不生效，往往不是写错了，而是被其他逻辑悄悄覆盖。
-
paginate()会在无显式order时自动补id ASC，所以务必在paginate()前调用order() - 模型
initialize()或全局作用域里写了$this->order(...)，会强制覆盖外部调用，建议改用when()条件式写法 - 关联查询（
with()）后对关联字段排序，需确保字段真实存在，否则 SQL 报错；复杂场景建议改用join()或view - 分页时若
order含函数（如rand()），count()可能不一致，应显式传入总数
