ThinkPHP8强制参数绑定防御SQL注入，动态查询须用键值数组或闭包；原生SQL需显式占位符绑定；禁用模拟预处理、raw/exp方法；排序与输入须白名单校验及类型强转。
ThinkPHP8在输入过滤、XSS防护、SQL注入防御等方面进行了系统性加固，所有动态查询必须走参数绑定路径，否则将绕过安全机制直接执行原始SQL。
强制使用数组或闭包形式的where条件
字符串拼接的where语句会跳过PDO参数绑定，导致用户输入被当作SQL代码执行。框架仅对键值数组和闭包结构自动启用绑定机制。
方法一：改写为键值数组格式
将where("id = " . input('id'))替换为where(['id' => input('id')])。
方法二：复杂逻辑封装为闭包
用where(function($q) use($name, $status){ $q->where('name', 'like', "%{$name}%")->where('status', $status); })替代多条件字符串拼接。
立即学习“PHP免费学习笔记（深入）”；
方法三：LIKE子句必须手动拼接通配符
【禁止】写成where(['name' => ['like', input('kw')]])——这会让%符号进入绑定值，无法匹配；正确写法是where(['name' => ['like', '%' . input('kw') . '%']])。
原生SQL必须显式绑定参数
Db::query()默认不转义、不绑定，等同于裸执行。只有传入占位符+参数数组时，PDO才真正触发预处理流程。
第一步：用位置占位符配合索引数组
执行Db::query("SELECT * FROM user WHERE id = ? AND status = ?", [$id, $status])。
第二步：命名占位符需严格对应键名
调用Db::query("SELECT * FROM user WHERE name = :name AND level IN (:level1, :level2)", [':name' => $name, ':level1' => 1, ':level2' => 2])。
第三步：IN语句要动态生成占位符
若$idList = [1,5,8]，先构造$placeholders = implode(',', array_fill(0, count($idList), '?'))，再执行Db::query("WHERE id IN ($placeholders)", $idList)。
关闭模拟预处理与危险接口
PDO::ATTR_EMULATE_PREPARES设为true时，预处理会退化为字符串拼接，在MySQL低版本或Docker环境中极易触发注入漏洞。
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
在数据库配置文件中添加：'PDO::ATTR_EMULATE_PREPARES' => false。
全局禁用raw()和exp()调用——它们完全绕过框架安全层，等同于手动拼接SQL。
排序字段必须白名单校验：$sort = in_array(input('sort'), ['id', 'create_time', 'status']) ? input('sort') : 'id';，然后硬编码进SQL：order($sort . ' ' . input('order', 'ASC'))。
输入强转类型并白名单校验
未经校验的input()返回值默认为字符串，即使前端传数字也会被当作文本处理，可能引发类型混淆漏洞。
整数参数必须用intval()或filter_var()强制转换：$id = (int)input('id'); 或 $id = filter_var(input('id'), FILTER_VALIDATE_INT) ?: 0;。
枚举类参数如status、type等，必须用in_array()做白名单判断：$status = in_array(input('status'), [0,1,2]) ? input('status') : 1;。
自由文本内容需过滤HTML标签：$content = htmlspecialchars(input('content'), ENT_QUOTES, 'UTF-8');，防止XSS与部分上下文中的SQL混淆。
验证绑定是否真实生效
开启SQL日志后，检查日志中是否出现原始SQL模板（含?或:name）与参数分离记录，而非拼接后的完整SQL语句。
启用Xdebug断点调试，在Db类execute()方法入口处查看$bind参数是否非空且结构正确。
在生产环境部署前，用含单引号的恶意输入（如admin' OR '1'='1）测试接口响应——若返回空结果或报错而非全部数据，则绑定已生效。
