ThinkPHP 5.1 SQL注入风险源于开发者绕过安全机制，如动态order/group未白名单校验、滥用exp模式、直接拼接用户输入；应坚持结构与数据分离，用白名单、parseKey、参数绑定等防御。
ThinkPHP 5.1 的 SQL 注入风险，不来自框架默认行为，而源于开发者绕过安全机制的写法——比如把用户输入直接拼进 SQL 字符串、误用动态方法、或依赖未校验的数组参数。只要坚持“结构与数据分离”，绝大多数漏洞根本不会发生。
order/group 动态排序是高危区
框架对 order() 和 group() 方法的参数不做自动过滤，尤其当传入数组时，键名（key）会被原样拼入 SQL。
- 危险示例：
$order = input('orderby'); db('user')->order($order)->select();，攻击者传?orderby[id]=updatexml(1,concat(0x7e,user()),0)即可触发报错注入 - 修复方式：必须白名单校验字段名，如
in_array($order, ['id', 'name', 'create_time'], true)，不匹配则 fallback 到默认值 - 若需手动拼接，务必用
$builder->parseKey($field)处理字段名，防止符号绕过
where 中滥用 exp 模式等于主动开后门
where('field', 'exp', $value) 是明确告诉框架“把 $value 当原生 SQL 执行”，完全绕过预处理。
- 危险示例：
$sql = input('sql'); db('user')->where('id', 'exp', $sql)->find();，攻击者传?sql=1 and updatexml(1,concat(0x7e,database()),0)即可注入 - 修复方式：项目中彻底删除所有
'exp'出现的位置，无例外 - 改用参数绑定写法，如
where('status', '>', input('min_status', 0, 'intval'))或闭包构造：where(function ($query) { $query->where('a', '>', 1)->whereOr('b', '
update/insert 接收数组参数可能触发 parseData 漏洞
在 TP5.1.0–5.1.7 等早期版本中，update(['field' => $input]) 若 $input 是用户可控数组（如表单提交 name="username[a]"），会进入 parseData() 分支，解析含 ['inc', 'updatexml()', 1] 结构的数组并直接拼入 SQL。
- 修复方式：对所有接收的数组型参数做强类型校验，只允许字符串或数字，拒绝多维、函数名、特殊结构
- 示例：
is_string($val) || is_numeric($val)，遍历检查每个值 - 注意：
input('data/a', '', 'htmlspecialchars')对数组无效，需先is_array()判断再处理
Db::query() 原生查询必须手动绑定
Db::query() 不自动启用参数绑定，它只执行你写的 SQL。哪怕用了 PDO，只要字符串拼接存在，就等于裸奔。
- 危险写法：
Db::query("SELECT * FROM user WHERE name = '" . input('name') . "'") - 安全写法（问号占位）：
Db::query('SELECT * FROM user WHERE status = ? AND level > ?', [input('status'), input('level')]) - 安全写法（命名占位）：
Db::query('SELECT * FROM user WHERE name = :name', ['name' => input('name')]) - 复杂参数建议用
Db::bind()显式声明类型，尤其含 NULL 或布尔值时更可控
