必须关闭PDO模拟预处理，即在config/database.php中显式配置'PDO::ATTR_EMULATE_PREPARES' => false，否则所有参数绑定退化为字符串拼接；同时需验证runtime/log/sql.log中出现Binding: [value]记录，并配合字符集utf8mb4、禁用raw/exp及启用SQL日志确保防护生效。
ThinkPHP 数据库配置文件本身不直接执行 SQL，但它是整个 SQL 注入防御体系的起点——关键配置项一旦缺失或设错，后续所有参数绑定都会退化为字符串拼接。真正起决定性作用的是 PDO 驱动层的行为控制，而非框架逻辑。
必须关闭 PDO 模拟预处理
这是最硬性的安全前提。默认情况下，PDO 在 MySQL 低版本（如 5.5/5.6）或 Docker 环境中常开启 PDO::ATTR_EMULATE_PREPARES = true，导致所有 ? 占位符被当成普通字符串替换，完全绕过预处理机制。
- 在
config/database.php的数据库连接配置中，显式添加：'PDO::ATTR_EMULATE_PREPARES' => false - 不要依赖注释、文档或“默认已关”的假设；尤其检查部署环境（如阿里云轻量应用服务器、Docker Compose 中的 mysql:5.7 镜像）是否覆盖了该设置
- 验证方式：执行一次带用户输入的查询后，查看
runtime/log/sql.log，确认出现Binding: [123]记录，而非仅SQL: WHERE id = ?
强制统一字符集并禁用宽字节风险
宽字节注入（如 %df%27 绕过转义）只在特定组合下生效：GBK 字符集 + 开启模拟预处理 + 字符串拼接。配置文件需从源头切断该路径。
- 在数据库 DSN 或连接参数中，明确指定字符集：
'charset' => 'utf8mb4'（推荐）或至少'charset' => 'utf8'；禁止使用 gbk、gb2312 - 若业务强依赖 GBK，请同步确保
PDO::ATTR_EMULATE_PREPARES => false已生效，否则仍存在绕过风险 - 避免在 DSN 中写
;charset=gbk这类隐式设置，优先通过params数组显式声明
禁用 raw/exp 等危险接口的底层支持
虽然 raw() 和 exp() 是方法调用，但它们的可用性受配置影响。可在数据库驱动层提前封堵入口。
立即学习“PHP免费学习笔记（深入）”；
- 在
config/database.php的连接配置中，添加：'forbidden_methods' => ['raw', 'exp', 'whereRaw', 'havingRaw', 'orderRaw'] - 该配置需配合中间件（如
MethodGuard）读取并拦截请求中的非法调用意图，防止插件或旧代码绕过 - 注意：
raw()在 ThinkPHP 6.0+ 中仍存在，不能仅靠“不用”来防范，必须配置+监控双保险
启用 SQL 绑定日志用于真实行为验证
配置文件要支撑可观测性，否则无法确认防护是否真正生效。
- 在
config/app.php中确保：'debug' => true（开发/测试环境），且'sql_explain' => true - 在
config/database.php中打开日志开关：'log' => true, 'slow_sql' => 0.1（单位秒） - 日志内容必须包含
Binding字段，例如：[2026-07-07 20:03:12] sql.INFO: SQL: SELECT * FROM user WHERE status = ? AND name = ? | Binding: [1, "admin' --"]
