ThinkPHP 8 彻底弃用字符串条件写法，仅支持数组、闭包、表达式对象三种安全传参方式；字符串参数会引发SQL注入或语法错误，复杂逻辑必须使用闭包嵌套。
ThinkPHP 8 不支持“升级字符串参数法”这种说法——它根本不存在。所谓“字符串参数法”是早期 TP3/5 中用 where('status=1 AND type IN (1,2)') 这类原生 SQL 片段传参的写法，TP8 已彻底弃用，强行沿用只会触发语法错误或 SQL 注入。
为什么 TP8 的 where() 不再接受字符串条件
TP8 的查询构造器默认走预处理绑定（PDO prepared statement），where() 方法只接受数组、闭包、表达式对象三种合法输入。传字符串会直接抛出 InvalidArgumentException 或静默降级为不安全拼接（取决于配置）。
- 字符串条件绕过参数绑定 →
where("name = '" . input('q') . "'")是典型注入温床 - TP8 默认关闭
strict模式时，可能把字符串误判为字段名，生成WHERE `name = ? AND type = ?`这种非法 SQL - 连表 + 字符串 where 容易导致表别名丢失，字段解析到错误表上
复杂条件必须用闭包嵌套控制逻辑层级
多组 AND/OR 混合、带括号优先级的场景，唯一可靠方式是闭包。TP8 会自动为每个闭包包裹一对 ()，且保证内部 AND 优先于外部 OR。
- 正确写法：
->where(function ($q) { $q->where('vip_level', '>=', 3)->where('last_login_date', '>', strtotime('-30 days')); }) - OR 分支必须挂载在已有
where()后：->whereOr(function ($q) { $q->where('status', 'frozen')->where('created_at', ' - 禁止单独以
whereOr()开头，否则生成OR (...)导致 MySQL 报错1064 You have an error in your SQL syntax
动态字段/值必须白名单校验，不能拼接进闭包
用户可控的排序字段、分组字段、模糊搜索关键词等，若直接塞进闭包，等于把 SQL 结构暴露给前端。
立即学习“PHP免费学习笔记（深入）”；
- 排序字段校验示例：
in_array($sortField, ['price', 'create_time', 'status'], true)，再传入order([$sortField => $direction]) - 模糊搜索必须用
mb_strtolower()处理 UTF-8：where('title', 'like', '%' . mb_strtolower($q, 'UTF-8') . '%')，否则中文关键词无效 - 闭包内禁止用
input()或request()->param()直接取值，应先过滤赋值给变量
调试时 buildSql() 只能看结构，不能拿去执行
buildSql() 返回的是带 ? 占位符的原始 SQL 字符串，不含引号、不转义、不绑定参数。它唯一用途是确认括号和逻辑是否符合预期。
- 错误用法：
$sql = $query->buildSql(); Db::execute($sql, $params);→ 绑定失效，可能报错或被注入 - 正确调试路径：
var_dump($query->getBind())查看实际绑定值，配合日志开启'sql_explain' => true - 真正执行必须走
select()/find()等方法，由 PDO 底层完成安全绑定
最常被忽略的一点：TP8 的闭包 where 里，所有字段名默认不带表别名。连表查询时若多个表有同名字段（如 user.id 和 order.user_id），必须显式写成 'u.status' 或 'o.created_at'，否则 TP 无法判断归属，生成的 SQL 会字段歧义报错。
