Symfony 8.0 中拼接 SQL 字符串会导致 SQL 注入，必须使用参数化查询：原生 SQL 用 text() + execute() 配命名参数、createNativeQuery() 配 setParameter()、ORM 查询避免 whereRaw() 等绕过机制，动态字段须白名单校验。
Symfony 8.0 里拼接 SQL 字符串（比如用 f-string、str_replace 或 query("SELECT * FROM user WHERE id = " . $id)）等于主动放弃防注入能力——Doctrine 不会帮你拦截或转义，数据库照单执行，' OR '1'='1 这类输入一进来就全表泄露。
Doctrine 原生查询必须用 execute() + 参数化字典
哪怕你非要用 text() 写原生 SQL，也绝不能把用户输入直接插进字符串。Doctrine 的 text() 本身不防注入，安全靠的是参数绑定机制。
- ✅ 正确：用命名参数 + 关联数组传参，
session->execute(text("SELECT * FROM users WHERE email = :email"), ["email" => $request->query->get("email")]) - ❌ 错误：
text("SELECT * FROM users WHERE email = '" . $request->query->get("email") . "'")—— f-string、点号拼接、sprintf全部高危 - ⚠️ 注意：
:email占位符只接受值，不能是字段名或表名；动态列名（如ORDER BY :sort）必须白名单校验后硬编码
ORM 查询接口天然防注入，但别掉进 whereRaw() 类陷阱
Symfony 8.0 默认搭配 Doctrine ORM，它的 Query 构建器（如 UserRepository::findBy()、->andWhere()）底层自动参数化，只要不用“绕过层”，就基本安全。
- ✅ 安全写法：
$repo->findBy(["status" => "active", "role" => $request->query->get("role")])，或$qb->where("u.email = :email")->setParameter("email", $email) - ❌ 高危操作：某些自定义仓库方法里调用
whereRaw()（Laravel 风格）、addSelect("CONCAT(first_name, ' ', last_name)")没问题，但addWhere("name LIKE '%" . $q . "%')就崩了 - ⚠️ 特别注意：
filter_by只支持固定字段名；若需动态字段（如用户选“按创建时间排序”），排序字段必须从预设白名单中取：in_array($sortBy, ["createdAt", "updatedAt"], true) ? "ORDER BY " . $sortBy : "ORDER BY createdAt"
EntityManager::createNativeQuery() 必须配 setParameter()，不能只靠 execute()
原生查询不是“开了白名单就安全”，它只是给你一条更底层的通道——通道本身没锁，得自己上锁。
- ✅ 正确流程：
$sql = "SELECT * FROM logs WHERE level = ? AND ts > ?"; $stmt = $em->createNativeQuery($sql, Log::class); $stmt->setParameter(1, $level); $stmt->setParameter(2, $since, \Doctrine\DBAL\Types\Types::DATETIME_IMMUTABLE); $stmt->executeStatement(); - ❌ 错误示范：
$em->createNativeQuery("SELECT * FROM logs WHERE level = '" . $level . "'", Log::class)->executeStatement()——createNativeQuery()只编译 SQL，不处理变量 - ⚠️ 类型绑定很重要：日期、布尔、JSON 字段建议显式传
\Doctrine\DBAL\Types\Types::*，避免 PDO 自动类型转换引发意外（比如把"0"当成false）
最常被忽略的一点：Doctrine 的 Connection::executeStatement() 和 executeQuery() 本身不带参数绑定能力，它们只是 PDO 的薄封装。所谓“安全”，永远依赖于你是否把变量塞进了 setParameter() 或 bindValue()，而不是函数名里有没有“safe”或“prepared”。
