ThinkPHP paginate()不限制最大页码因仅校验page为正整数，不设业务上限，致大page生成巨量offset引发全表扫描；须在调用前用input('page/d',1)强转并abort拦截，或通过total参数预估截断，手动limit/offset则需严格限制offset范围。
ThinkPHP paginate() 为什么不限制最大页码
因为 paginate() 默认只校验 page 参数是否为正整数，不检查它是否超出业务合理范围。传入 page=999999 时，框架仍会计算出极大 offset，生成类似 LIMIT 9999980,20 的 SQL——MySQL 不得不扫描前 999 万行，哪怕有索引也扛不住。
手动拦截 page 参数并设硬上限
最直接有效的做法是在调用 paginate() 前就掐断非法页码。别等框架内部处理，越早拦截越安全。
- 用
input('page/d', 1)强转为整型，避免字符串绕过 - 立即判断：若
$page > 1000（或你业务允许的阈值），直接abort(400, 'page too deep') - 注意：这个判断必须在
paginate()调用之前，否则无效
示例：
$page = input('page/d', 1);
if ($page > 1000) {
abort(400, 'page exceeds limit');
}
$list = User::paginate(20);
用 paginate() 的 total 参数预估总数截断
当真实总数可能超百万、COUNT(*) 已成瓶颈时，与其让数据库算出准确值再被大 offset 拖垮，不如主动“假装”总数只有 50 万——这样即使用户传 page=10000，实际 offset 也不会突破 50 万，MySQL 至少还能扛住。
立即学习“PHP免费学习笔记（深入）”；
- 先用轻量方式估算总数（如查主键最大值、用
EXPLAIN行数、或 Redis 缓存近似值） - 调用
paginate()时显式传入'total' => min($estimated, 500000) - TP6.3+ 支持该写法：
User::paginate(['list_rows' => 20, 'total' => $clippedTotal])
手写 limit/offset 时必须加 offset 上限
如果你没走 paginate()，而是用 limit() + offset() 手动分页（比如导出、后台批量操作），风险更高——因为 offset 完全由你控制，框架不介入校验。
-
$offset必须强转：$offset = intval(input('offset')) - 必须限制范围：
$offset = min(max(0, $offset), 50000) - 永远不要把原始
$_GET['offset']或未校验的input('offset')直接喂给offset()
真正容易被忽略的是：游标分页（cursor-based pagination）才是深分页的终极解法，但它的改造成本高、不兼容传统页码跳转逻辑——如果你的接口还暴露 page 参数，那上限拦截就是你眼下唯一能立刻落地的防线。
