ThinkPHP 5.1 多表联查本身不引入新注入风险，关键在于动态字段名、表名、ON条件等是否经白名单校验；join()不支持参数化，须避免字符串拼接，优先用数组语法，并对where/order/group中用户输入严格过滤。
ThinkPHP 5.1 多表联查本身不引入新注入风险，关键在于联查中动态参与的字段名、表名、ON 条件、排序/分组字段等是否可控且未经校验。框架对 join() 的表名和 ON 表达式不做自动过滤，也不支持参数化——这些属于 SQL “结构”部分，PDO 无法绑定，必须靠开发者主动防御。
表名与关联字段名必须白名单校验
联查时若表名或 ON 中的字段来自用户输入（如接口支持动态主表/从表），绝不能直传。例如：
危险写法：
$table = input('join_table');<br>
Db::table('user')->join($table . ' as b', 'user.id = b.user_id')->select();
安全做法：
- 预定义合法表名列表：
$allowTables = ['order', 'profile', 'address']; - 严格校验后使用：
$table = in_array($table, $allowTables) ? $table : 'order'; - ON 条件中的字段名同理，如
user.id = b.user_id中的b.user_id若由用户指定字段，也需白名单映射（如['user_id' => 'b.user_id', 'status' => 'b.status']）
ON 条件避免字符串拼接，优先用数组语法
ThinkPHP 支持数组形式的 ON 条件，可触发参数绑定；而字符串拼接会绕过所有防护。
立即学习“PHP免费学习笔记（深入）”；
推荐（安全）：->join('order as o', ['user.id', '=', 'o.user_id'])
或更明确的三元组：->join('order as o', ['user.id', 'o.user_id'], 'LEFT')
禁止（高危）：->join('order as o', 'user.id = ' . input('on_condition'))->join('order as o', "user.id = o." . input('field'))
联查后的 where/order/group 仍需独立防护
多表联查只是扩展了数据源，后续链式方法的安全要求不变：
-
where()避免单字符串写法，坚持双参数或数组语法：where('o.status', 'eq', input('status')) -
order()的字段名不可参数化，必须白名单：$sort = in_array(input('sort'), ['o.create_time', 'user.name']) ? input('sort') : 'o.id'; ->order($sort) -
group()同理，禁止group(input('group_field'))，应映射为内部枚举
复杂联查建议改用原生 SQL + 显式绑定
当联查涉及子查询、JSON 函数、窗口函数等框架构造器难以覆盖的场景，直接使用 Db::query() 更可控，但必须手动绑定所有变量：
Db::query("SELECT u.*, COUNT(o.id) FROM user u LEFT JOIN order o ON u.id = o.user_id WHERE u.status = ? GROUP BY u.id HAVING COUNT(o.id) > ?", [input('status'), input('min_orders')]);
注意：表名、字段名、GROUP BY/HAVING 中的列名仍不可绑定，需前置白名单校验。
