现有工具无法检测TP6.1 SQL注入，因其架构重构导致旧POC失效；需结合PHP Insights静态扫描、手动验证raw类方法、调试日志分析及sqlmap接口探测；开发中应弃用Db::query()，强制使用参数绑定与ORM链式调用。
目前主流的ThinkPHP漏洞扫描工具（如tpscan、Aazhen-V3.1、ThinkPHPGUI）均不支持ThinkPHP 6.1版本的SQL注入检测。
为什么现有工具扫不了TP6.1
ThinkPHP 6.1在架构上做了重大调整：完全弃用旧版路由解析逻辑、重构数据库查询构造器、默认禁用动态方法调用、移除__call魔术方法对控制器方法的兜底处理。这意味着针对TP5.x及更早版本设计的POC（如/index.php?s=/Index/\think\app/invokefunction）在6.1中根本无法触发。
当前所有公开工具内置的14个POC（tpscan）、全版本RCE检测逻辑（Aazhen）、GUI批量检测模块（ThinkPHPGUI）均基于TP2.x–5.1.x的历史漏洞路径构建，未覆盖6.1引入的新组件（如think-orm独立包、Facade代理机制、严格模式下的参数绑定校验）。
检测TP6.1 SQL注入的可行方式
必须转向代码层与运行时结合的方式，而非依赖通用黑盒扫描：
立即学习“PHP免费学习笔记（深入）”；
-
静态扫描优先用 PHP Insights：它能识别
Db::query()硬编码拼接、raw()未绑定变量、whereRaw()缺失占位符等高危写法，覆盖TP6.1全部数据库操作API； -
手动验证关键接口：对使用
whereRaw、havingRaw、orderRaw或自定义Query类的地方，用' OR 1=1 --、1' AND SLEEP(3) --等payload逐点测试响应延迟与数据回显； -
启用TP6.1调试模式日志：设置
app_debug = true，访问目标接口后检查runtime/log/下SQL日志是否将用户输入原样写入执行语句（如出现WHERE name = 'admin' OR 1=1'即存在风险）； -
配合 sqlmap 做接口级探测：仅适用于已知存在
whereRaw且未绑定参数的接口，命令示例：sqlmap -u "http://site.com/api/user?id=1" -p "id" --dbms=mysql --level=5 --risk=3。
开发阶段就规避风险
TP6.1本身已提供强防护能力，关键在正确使用：
- 禁用
Db::query()直接执行SQL，改用Db::table()->where()->select()链式调用； - 必须用原生SQL时，强制使用
?占位符：Db::query("SELECT * FROM user WHERE id = ? AND status = ?", [$id, $status])； - 关闭
app.use_multi_app和route.allow_cross_domain等非必要扩展，减少攻击面； - 上线前运行
php artisan insights --security，确保安全规则项全部通过。
不复杂但容易忽略：TP6.1的安全性高度依赖开发者是否放弃“兼容旧习惯”，真正转向ORM约束式写法。工具扫不到，是因为漏洞已不在框架层面，而在你写的那一行whereRaw里。
