ThinkPHP5.0的order()方法不支持参数绑定，易导致SQL注入，必须通过字段白名单校验、排序方向严格限定（仅ASC/DESC）、禁用特殊字符，并结合闭包查询或映射表等安全方式实现动态排序。
ThinkPHP5.0 的 order() 方法本身不支持参数绑定，因为 SQL 中的排序字段（如 ORDER BY username ASC）属于“标识符”而非“值”，PDO 和 MySQLi 均无法对字段名或排序方向做预处理。所以只要把用户输入直接拼进 order()，就等于打开 SQL 注入大门。
必须白名单校验排序字段名
不能依赖过滤关键词或转义，而要严格限定允许的字段范围：
- 提前定义安全字段白名单，例如
['id', 'username', 'create_time', 'status'] - 从请求中获取排序参数后，先检查是否在白名单内：
$sort = input('sort/s', 'id');<br>if (!in_array($sort, ['id', 'username', 'create_time'])) {<br> throw new Exception('Invalid sort field');<br>} - 禁止接受带点号、反引号、括号或逗号的字段名（如
id, (SELECT ...)或username ASC, password DESC）
排序方向（ASC/DESC）也要校验
用户可能传入 sort=username%20UNION%20SELECT%20... 或 sort=id%20ASC,0x31 等变体：
- 只允许
'ASC'或'DESC'两个固定值，区分大小写不敏感处理 - 用
strtolower()统一转换后比对：$dir = strtolower(input('dir/s', 'ASC'));<br>if (!in_array($dir, ['asc', 'desc'])) { $dir = 'ASC'; } - 拼接时显式控制格式：
order($sort . ' ' . strtoupper($dir))
避免动态拼接，优先使用闭包+whereRaw等可控方式
如果业务需要更复杂排序逻辑（如按计算字段、表达式），不要把整个字符串交给 order()：
立即学习“PHP免费学习笔记（深入）”；
- 改用闭包查询，在内部手动构造并绑定值：
->where(function ($query) use ($uid) {<br> $query->whereRaw('score * (CASE WHEN user_id = ? THEN 2 ELSE 1 END)', [$uid]);<br>}) - 对极少数必须动态字段的场景，可封装成映射表：
$map = ['hot' => 'click_count DESC', 'new' => 'create_time DESC'];<br>$sqlPart = $map[input('by/s')] ?? 'id DESC';<br>->orderRaw($sqlPart);
生产环境额外加固建议
即使做了白名单，也建议叠加纵深防御：
- 开启
app_debug = false，防止错误信息泄露数据库结构 - 数据库账号使用最小权限原则，禁用
FILE、EXECUTE等高危权限 - 在日志中记录异常排序参数，便于事后审计和攻击溯源
- 若项目已升级至 ThinkPHP5.1.40+ 或 6.x，可配合
parseOrder()钩子统一拦截非法字段
