MySQL FULLTEXT搜索必须用MATCH AGAINST且严禁拼接用户输入；字段名和搜索模式需白名单校验，关键词须PHP净化后绑定参数，旧版MySQL不支持AGAINST内问号绑定，布尔符号等需预设模式而非直传。
MySQL FULLTEXT 搜索必须用 MATCH AGAINST，不能拼接字符串
MySQL 的 MATCH ... AGAINST 语法本身不支持参数化占位符，但它的字段列表（列名）和搜索模式（IN NATURAL LANGUAGE MODE 等）是固定语法的一部分，**不能由用户输入动态决定**。一旦你把用户关键词直接拼进 AGAINST('xxx')，就等于开了注入后门。
- ❌ 危险写法：
$stmt = $pdo->prepare("SELECT * FROM articles WHERE MATCH(title, content) AGAINST('{$_GET['q']}')");—— 单引号、括号、+ - ~ * 都可能破坏语法或触发布尔逻辑 - ✅ 安全做法：始终用 PHP 处理关键词净化，再传入
AGAINST(?, IN NATURAL LANGUAGE MODE)；注意：MySQL 8.0.22+ 才支持对AGAINST()内部参数做问号绑定，旧版本必须靠 PHP 层过滤 - 关键词中若含单引号、双引号、括号、加减号、波浪号、星号，应统一替换为空格或移除（不是转义），因为 FULLTEXT 解析器会按规则分词，乱码反而导致无结果或报错
LIKE 模糊搜索 + 全文索引混用时，通配符必须在 PHP 层添加
有些场景既要支持前缀匹配（如 name LIKE 'abc%'），又要利用全文索引加速，容易误把 % 拼进 SQL 字符串里。只要用户输入进了 SQL 字面量，哪怕用了 prepare()，也挡不住绕过。
- ❌ 错误示范：
$stmt = $pdo->prepare("SELECT * FROM products WHERE name LIKE ?"); $stmt->execute(["%{$_GET['q']}%"]);—— 若$_GET['q']是abc%'，拼出来就是'%abc%' OR 1=1-- ' - ✅ 正确流程：
$q = trim($_GET['q'] ?? ''); $q = preg_replace('/['";\\%_]/', '', $q); $stmt = $pdo->prepare("SELECT * FROM products WHERE name LIKE CONCAT('%', ?, '%')"); $stmt->bindValue(1, $q, PDO::PARAM_STR); - 注意：如果字段已建了 FULLTEXT 索引，
LIKE就无法走索引，性能会断崖下跌；此时应改用MATCH ... AGAINST或拆成两个查询分支（全文查主干 + LIKE 查补漏）
排序字段、搜索模式等动态 SQL 片段必须白名单校验
用户常要求“按热度排序”“按时间倒序”“用布尔模式搜”，这些不是数据值，而是 SQL 结构的一部分，没法参数化，只能靠白名单控制。
- 排序字段只允许：
title、published_at、relevance（后者需配合MATCH返回的SCORE()） - 排序方向只允许：
ASC、DESC，且必须用in_array($sort, ['ASC','DESC'], true)判断，不能只用strtoupper() - FULLTEXT 模式只允许：
IN NATURAL LANGUAGE MODE、IN BOOLEAN MODE、WITH QUERY EXPANSION；禁止用户传入任意字符串拼进AGAINST(...)后面 - 拼接前务必用
preg_match('/^[a-zA-Z0-9_]+$/', $field)过滤字段名，防止注入表名或函数调用
Flask/SQLAlchemy 中别碰 text() + 用户输入，哪怕带命名参数
很多人以为 text("MATCH(title) AGAINST(:q)") 加了 :q 就安全，其实不是。SQLAlchemy 的 text() 默认只是字符串替换，底层驱动若没开启强制参数化（比如某些旧版 psycopg2 或未配 use_native_unicode=False），:q 会被原样插进去。
- ✅ 安全路径：
from sqlalchemy import func; results = session.query(Article).filter(func.match(Article.title, q).op('AGAINST')(q)).all()（需 SQLAlchemy 2.0+） - ✅ 更稳写法：用 ORM 的
filter()配合func.match()或原生select().where()，确保走参数化执行链 - ❌ 危险组合：
session.execute(text("SELECT * FROM article WHERE MATCH(title) AGAINST(:q)"), {'q': user_input})—— 表面像参数化，实则可能被绕过 - 如果非用
text()，必须确认数据库方言明确支持该参数绑定机制，并在连接 URL 加?prepared_statement=True（MySQL）或启用use_binds=True
全文索引场景下最易被忽略的点，是把「搜索模式」（如布尔模式符号 +-~）当成普通关键词放任用户输入。它们本就是 SQL 逻辑的一部分，放进来就等于授权用户写子查询。真正安全的做法，是把用户意图翻译成预设的模式组合，而不是把输入原样喂给 AGAINST()。
