ThinkPHP8不提供直接执行SQL文件的内置功能，需手动读取、解析并安全执行；核心是避免SQL拼接、确保utf8mb4字符集、逐条执行语句、封装为命令行工具、限制环境与权限、启用SQL日志追踪。

ThinkPHP8本身不提供直接执行SQL文件的内置命令或方法，需手动读取、解析并安全执行。这不是一个“开个配置就能跑”的功能，而是需要结合框架规范与数据库操作原则来实现。核心在于：避免裸SQL拼接、确保字符集一致、控制执行权限、适配不同环境。

必须确认的数据库基础配置

执行SQL文件前，数据库连接必须稳定且编码正确，否则建表或插入中文会失败。

• database.php 中的 'dsn' 字段要显式包含 charset=utf8mb4，例如：

  'dsn' => 'mysql:host=127.0.0.1;dbname=test;charset=utf8mb4',

  删掉 'charset' => 'utf8mb4' 这类独立配置项，它在TP8中无效，甚至干扰DSN构造。

  

  PHP

  编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

  下载
• 确保 MySQL 服务端已设 character-set-server = utf8mb4，否则 INSERT INTO ... VALUES ('?') 会报错 SQLSTATE[HY000]: General error: 1366。
• 若SQL文件含多条语句（如 CREATE TABLE; INSERT INTO;），PDO默认不支持批量执行，需用 explode(';', $sql) 拆分后逐条调用 Db::execute()。

执行入口与安全控制

TP8不鼓励在控制器或中间件中直接读SQL文件，应封装为命令行工具，便于权限隔离和调试。

立即学习“PHP免费学习笔记（深入）”；

• 创建命令类（如 app/command/ImportSql.php）：
  • 继承 think\console\Command；
  • 在 configure() 中定义参数，例如 ->addArgument('file', InputArgument::REQUIRED, 'SQL file path')；
  • execute() 中用 file_get_contents() 读取，过滤注释行（# 和 -- 开头）、合并换行、按分号切分；
  • 每条语句必须单独执行，不可拼成大字符串传给 Db::execute()，否则无法触发参数绑定，也绕过SQL注入防护。

环境与权限隔离建议

• 仅在 APP_ENV=production 以外的环境允许执行（开发/测试），线上禁止开放该命令；
• SQL文件路径必须为绝对路径，且不能来自用户输入（如 input('file')），防止路径遍历；
• 若SQL含 DROP TABLE 或 TRUNCATE，应在命令中加确认提示（$this->confirm('This will erase data. Continue?')）；
• 建议配合事务：

  Db::startTrans();
  try {
      foreach ($statements as $sql) {
          if (trim($sql)) Db::execute($sql);
      }
      Db::commit();
  } catch (\Exception $e) {
      Db::rollback();
      throw $e;
  }

调试与日志追踪

想看到每条SQL是否成功执行，需开启SQL日志：

• 入口文件 public/index.php 顶部设 define('APP_DEBUG', true);；
• config/log.php 的 'level' 数组中加入 'sql'；
• 数据库配置 'log' => ['enable' => true]（默认已开，但检查是否被 .env 或代码覆盖）。
  这样每条 Db::execute($sql) 都会记录到 runtime/log/sql/ 下，方便排查语法错误或权限问题。