ThinkPHP 6.2 不支持直接执行 SQL 文件，需手动解析语句边界并逐条执行；应跳过注释与空行，按语句类型分别调用 Db::query() 或 Db::execute()，且须白名单校验表名字段名以确保安全。
ThinkPHP 6.2 本身不提供直接「执行 SQL 文件」的内置方法，更不支持自动按语句拆分并逐条执行。SQL 文件是纯文本，含多条语句（可能跨行、带注释、含分号在字符串中），不能简单用 explode(';') 切割。要安全、可靠地分条执行 .sql 文件，必须手动解析语句边界，并逐条交由 ThinkPHP 的原生执行方法处理。
分条执行的核心原则
-
不信任分号分割：SQL 文件里的分号可能出现在注释（
-- ;）、字符串（'a;b'）、存储过程或DELIMITER定义中，硬切会出错。 -
只执行可识别语句类型：跳过空行、纯注释行（
--或#开头）、DELIMITER行；对SELECT/SHOW/EXPLAIN用Db::query()，其余（INSERT/UPDATE/DELETE/CREATE/ALTER等）用Db::execute()。 -
每条语句独立参数绑定：若语句含占位符
?，需单独提取并传参；但 SQL 文件通常不含占位符，所以实际多为字符串拼接 → 必须先白名单校验所有表名、字段名，再执行。
实用分条执行步骤
-
准备一个安全的 SQL 解析函数（轻量版）
function parseSqlFile(string $filePath): array { $content = file_get_contents($filePath); $statements = []; $inString = false; $inComment = false; $current = ''; $len = strlen($content); for ($i = 0; $i < $len; $i++) { $char = $content[$i]; $next = $i + 1 < $len ? $content[$i + 1] : ''; // 跳过 /* ... */ 注释（简化处理，不嵌套） if (!$inString && !$inComment && $char === '/' && $next === '*') { $inComment = true; $i++; continue; } if ($inComment && $char === '*' && $next === '/') { $inComment = false; $i++; continue; } if ($inComment) continue; // 跳过 -- 和 # 行注释（从行首开始） if (!$inString && !$inComment && ($char === '-' && $next === '-') || $char === '#') { while ($i < $len && $content[$i] !== "\n") $i++; continue; } // 字符串引号处理（支持 ' 和 "） if (!$inComment && ($char === "'" || $char === '"')) { if (!$inString) { $inString = $char; } elseif ($inString === $char) { $inString = false; } } // 分号结束且不在字符串/注释中 if (!$inString && !$inComment && $char === ';') { $stmt = trim($current); if ($stmt !== '') { $statements[] = $stmt; } $current = ''; } else { $current .= $char; } } // 收尾剩余内容（无结尾分号时） $stmt = trim($current); if ($stmt !== '') { $statements[] = $stmt; } return $statements; } -
在命令行任务或控制器中调用并执行
use think\facade\Db; $sqlFile = app()->getAppPath() . 'extra/init.sql'; $statements = parseSqlFile($sqlFile); foreach ($statements as $i => $sql) { $sql = trim($sql); if (empty($sql)) continue; // 白名单校验关键标识符（示例：只允许操作 user/order 表） if (!preg_match('/^\s*(SELECT|SHOW|EXPLAIN|INSERT|UPDATE|DELETE|CREATE|ALTER|DROP|TRUNCATE)/i', $sql)) { throw new \Exception("非法语句类型: {$sql}"); } // 判断 SELECT 类型 → 用 query if (stripos($sql, 'SELECT ') === 0 || stripos($sql, 'SHOW ') === 0 || stripos($sql, 'EXPLAIN ') === 0) { try { $result = Db::query($sql); // 可选：记录日志或忽略结果 } catch (\Throwable $e) { throw new \Exception("SQL 执行失败 [{$i}]: {$sql} | {$e->getMessage()}"); } } else { // 其他类型 → 用 execute try { $affected = Db::execute($sql); if ($affected === false) { throw new \Exception("执行失败: {$sql}"); } } catch (\Throwable $e) { throw new \Exception("SQL 执行失败 [{$i}]: {$sql} | {$e->getMessage()}"); } } }
注意事项
-
禁止在 Web 请求中执行 SQL 文件：应仅限 CLI 命令（如
php think db:import），避免暴露路径或触发超时。 -
DDL 语句（如
CREATE TABLE）可能被 PDO 限制：确认数据库用户权限，并检查PDO::ATTR_EMULATE_PREPARES是否设为false。 -
大文件请流式读取：上面函数一次性加载全文，若 SQL 文件超 100MB，建议改用
fopen+ 行缓冲解析。 -
事务控制需手动包裹：
Db::transaction()不适用于Db::query()/execute()的混合语句，如需原子性，应确保整个 SQL 文件逻辑可回滚，或拆成多个事务块分别处理。
不复杂但容易忽略。
立即学习“PHP免费学习笔记（深入）”；
