ThinkPHP 5.7 不支持一键导入 SQL 文件自动修改字段，需手动解析 alter_fields.sql 中的 ALTER TABLE 语句，白名单校验表名后逐条调用 Db::execute() 执行；生产环境推荐使用迁移类或 DBA 审核执行。
ThinkPHP 5.7 本身不提供直接执行 SQL 文件（如 .sql 脚本）的内置方法，更不支持“一键导入 SQL 文件并自动修改字段”。要通过 SQL 文件修改数据库字段，核心是**解析文件内容、提取 ALTER 语句、安全执行**。实际操作中需分三步走：准备 SQL 文件 → 读取并筛选语句 → 使用 Db::execute() 执行 DDL。
SQL 文件里写对 ALTER 语句
确保你的 alter_fields.sql 文件中只包含标准 MySQL DDL 修改语句，例如：
ALTER TABLE user MODIFY COLUMN age VARCHAR(10);ALTER TABLE user CHANGE COLUMN email user_email VARCHAR(100) NOT NULL;ALTER TABLE user ADD COLUMN avatar VARCHAR(255) DEFAULT '' AFTER name;
⚠️ 注意：不要在 SQL 文件中混入 CREATE DATABASE、USE、SET 等非表级语句；ThinkPHP 无法处理多语句（如用分号隔开的多条 ALTER），必须逐条执行。
在控制器或命令行中读取并执行
推荐放在命令行指令（php think migrate:alter）或后台管理动作中，避免 Web 请求超时。示例代码：
立即学习“PHP免费学习笔记（深入）”；
// 读取 SQL 文件
$sqlContent = file_get_contents(ROOT_PATH . 'public/sql/alter_fields.sql');
// 按分号分割（简单场景，不支持注释内分号）
$statements = array_filter(array_map('trim', explode(';', $sqlContent)));
foreach ($statements as $sql) {
if (empty($sql) || stripos($sql, 'ALTER TABLE') === false) {
continue;
}
// 白名单校验表名（关键！防注入）
if (!preg_match('/ALTER\s+TABLE\s+`?(\w+)`?/i', $sql, $matches) ||
!in_array($matches[1], ['user', 'order', 'article'])) {
throw new \Exception('非法表名：' . ($matches[1] ?? 'unknown'));
}
// 执行
$result = \think\Db::execute($sql);
if ($result === false) {
throw new \Exception('执行失败：' . $sql . '，错误：' . \think\Db::getPdo()->errorInfo()[2]);
}
}
比执行 SQL 文件更稳妥的做法
对于生产环境，硬执行外部 SQL 文件风险高（权限、语法、事务、回滚缺失）。建议替代方案：
-
用迁移类（Migration）管理字段变更：创建
20260827_add_avatar_to_user.php，在up()中调用Schema::table('user', function (Blueprint $table) { $table->string('avatar')->after('name'); });—— 这是 TP5.7 + think-migration 扩展的标准做法。 - 封装安全的字段修改方法：写一个工具函数，只允许传入表名、字段名、新类型等明确参数，内部拼出 ALTER 语句并校验，不依赖外部文件。
-
DBA 审核后手动执行：将 SQL 文件交由运维或 DBA 在数据库客户端执行，应用层只做版本标记（如写入
schema_version表）。
本质上，TP5.7 的角色是数据访问层，不是数据库运维工具。字段修改属于结构变更，应走受控流程，而非随意加载 SQL 文件。
