ThinkPHP5.0数组查询条件可防SQL注入，因其采用自动参数绑定与字段白名单解析：字段名静态生成、值转占位符绑定、操作符限定预设范围，彻底分离SQL结构与用户数据。
ThinkPHP5.0使用数组方式写查询条件（如 where(['name' => $input, 'status' => 1])）能有效抵御SQL注入，核心在于框架底层对数组结构做了**自动参数绑定 + 字段白名单式解析**，而不是字符串拼接。
参数绑定机制自动隔离数据与SQL结构
当传入数组时，ThinkPHP不会把值直接拼进SQL语句，而是拆解为键（字段名）、值（用户数据）、操作符三部分，再交由PDO或MySQLi的预处理接口执行：
- 字段名（如
name）被当作静态标识，仅用于生成SQL骨架，不参与运行时拼接 - 字段值（如
$input）全部转为预处理占位符（?或命名参数），由数据库驱动做类型安全绑定 - 即使
$input是"admin' OR '1'='1"，也会被当作纯字符串字面量传入，无法改变SQL语法结构
字段名和操作符受框架硬编码约束
数组键必须是合法字段名，操作符（如 'eq'、'in'、'like'）也限定在预设范围内：
- 框架内部有固定的操作符映射表，比如
'in'→IN (?)，'like'→LIKE ? - 非法操作符（如用户传入
'exp'且未校验）在旧版本中曾引发风险，但标准数组用法默认不触发exp分支 - 字段名本身不经过用户可控的动态解析——不会出现
where($_GET['field'] => ...)这类写法
与字符串条件形成本质对比
对比危险的字符串写法：where("name = '" . $_GET['n'] . "'")，它把用户输入直接混入SQL语法层；而数组方式从一开始就把“结构”和“数据”分离：
立即学习“PHP免费学习笔记（深入）”；
- 结构：由开发者硬编码决定（
['name', 'status']） - 数据：由框架统一走绑定通道传入（
[$name, $status]） - 中间没有字符串插值、没有
real_escape_string依赖、不因字符集或数据库版本产生绕过
注意边界情况：数组不是万能盾牌
数组安全的前提是**正确使用**。以下情况仍可能引入风险：
- 手动构造含
['exp', 'UPPER(id)']的嵌套数组，且未升级到5.0.16+或未做字段名校验 - 把用户输入直接当数组键名使用，如
where([$_GET['key'] => $val]) - 在
order()、group()等不支持参数绑定的方法中传入用户控制的字符串
