ThinkPHP 5.1中数据库白名单是开发者在代码层实现的字段级访问控制机制，需对order/group/field/where/insert等动态字段及表名进行白名单校验，配合类型过滤、关闭调试与禁用危险修饰符等措施提升安全性。
在ThinkPHP 5.1中，数据库白名单不是框架内置的配置项，而是需要开发者主动在代码逻辑层实现的字段级访问控制机制。它不依赖 database.php 的某项开关，而是通过限制用户输入可操作的字段名（如 order、where 键名、insert 数组键等），从源头阻断非法字段拼接导致的 SQL 注入。
白名单必须覆盖的动态字段场景
以下位置若接收用户输入，且用于生成 SQL 字段名或表名，就必须校验是否在预设白名单内：
-
order() / group() / field() 方法中的字段名：例如
$list = db('user')->order(input('sort') . ' ' . input('order', 'asc'))->select();——input('sort')必须白名单校验 -
where() 数组键名可控时：如
where([input('key') => input('val')])，其中input('key')是攻击入口 -
insert() / update() / insertAll() 的数据数组键名：当使用
db()->insert($data)且$data来自用户（如 JSON 提交），其键名必须限定在合法字段范围内 -
动态表名或别名：如
db(input('table'))或table(input('table') . ' as t')，需严格比对允许的表列表
具体实现方式（推荐三步法）
不依赖配置文件，而是在控制器或公共服务中统一处理：
-
定义静态白名单数组：按业务模块维护，例如用户管理只允许
['id', 'username', 'email', 'status', 'create_time'] -
校验并默认兜底：用
in_array()判断，未命中则强制设为安全默认值
示例：
$sortField = input('sort/s', 'id');<br> $allowedSort = ['id', 'username', 'email', 'create_time'];<br> $realSort = in_array($sortField, $allowedSort) ? $sortField : 'id';<br> $list = db('user')->order($realSort . ' ' . input('order/s', 'asc'))->select(); -
批量数据插入前过滤键名：用
array_intersect_key()结合白名单剔除非法字段
$allowedKeys = ['username', 'email', 'password'];<br> $userData = input('post.');<br> $safeData = array_intersect_key($userData, array_flip($allowedKeys));<br> db('user')->insert($safeData);
配合框架防护提升效果
白名单单独使用不够，需与 ThinkPHP 原生机制协同：
立即学习“PHP免费学习笔记（深入）”；
-
禁用危险修饰符：避免使用
/a（数组接收）直接进 insert，除非已做白名单过滤；优先用/s、/d显式声明类型 -
关闭调试模式：确保
app_debug = false，防止错误信息泄露字段结构，让白名单不被逆向推测 -
拒绝 exp/inc/dec 动态表达式直传：用户不可控
['field' => ['exp', '...']]结构，这类需求改用闭包 +whereRaw()并手动绑定参数 -
所有 input 统一过滤：如
input('sort/s', '', 'htmlspecialchars,trim')，防 XSS 同时也减少恶意字符干扰白名单判断
