ThinkPHP 8.0.1 无官方认定的“数据库字段严格校验绕过漏洞”，问题源于 strict 配置未生效或 allowField() 与 strict(true) 未同时启用，导致字段校验失效；需在 Db 层确认 setStrict(true)，模型层严格启用 strict(true) 并配合 allowField() 白名单，中间件统一拦截非法参数，并推荐动态生成白名单以同步表结构。

ThinkPHP 8.0.1 并不存在官方认定的“数据库字段严格校验绕过漏洞”，但你遇到的问题，大概率是 insertAll() 或 where() 等操作在开启严格模式后仍未报错，或关闭 strict 后非法字段被静默丢弃——这属于配置未生效、机制未用全导致的“校验形同虚设”，而非框架级漏洞。

本质是：TP8 的字段校验依赖显式启用 + 正确组合，缺一环就失效。

---

✅ 确保 Db 层字段校验真正生效

Db::table()->insertAll() 默认开启严格模式（strict = true），但它只校验键名是否存在于表结构中，不校验值类型或业务逻辑。

• 必须确认你没在插入前调用 Db::setStrict(false)
  一旦执行过这句，后续所有 insertAll、update 都会跳过字段检查，非法字段直接丢弃（无提示）。

• 验证当前 strict 状态

  立即学习“PHP免费学习笔记（深入）”；

  dump(Db::getOptions()['strict']); // 应返回 true

• 强制重置为严格模式（防意外覆盖）

  Db::setStrict(true);
  Db::table('user')->insertAll($data); // 此时多/少/错字段都会抛异常

---

✅ 模型层用 allowField() + strict(true) 双锁拦截

仅靠 Db 层不够，模型层才是主防线。allowField() 不是“可选功能”，而是字段白名单核心手段：

• 必须同时满足两个条件才报错：

  PHP 8.5.12

  修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

  下载
  • $model->strict(true) —— 开启严格模式（默认 false！）
  • $model->allowField(['name', 'email', 'status']) —— 显式声明合法字段

• 正确写法（控制器中）：

  $user = new User();
  $user->strict(true)
       ->allowField(['username', 'email', 'mobile'])
       ->save($data); // 字段不在白名单 → 直接抛异常

⚠️ 注意：allowField() 对 where() 也生效，但前提是 strict(true) 已启用；否则 where(['is_admin' => 1]) 会静默忽略该条件（不报错，也不进 SQL）。

---

✅ 统一中间件拦截所有请求参数字段（生产必备）

前端传参不可信，不能等走到模型才校验。应在请求入口处做第一道过滤：

• 新建中间件 ParamWhitelistMiddleware：

  public function handle(Request $request, \Closure $next)
  {
      $allowed = config('api.allowed_params', ['page', 'limit', 'order', 'keyword']);
      $params  = $request->param();
  
      foreach (array_keys($params) as $key) {
          // 提取真实字段名（如 order=username_desc → username）
          $field = preg_replace('/_(asc|desc)$/i', '', $key);
          if (!in_array($field, $allowed)) {
              throw new HttpException(400, '非法参数字段：' . $field);
          }
      }
  
      return $next($request);
  }

• 在 config/middleware.php 中注册为全局或分组中间件。

---

✅ 补充建议：自动对齐表结构，避免手动维护白名单

每次改表都去改代码白名单太脆弱。推荐动态生成：

// 获取真实字段（小写），自动作为白名单基础
$fields = array_map('strtolower', Db::getFields('user'));
$whitelist = array_values(array_intersect($fields, ['username', 'email', 'mobile', 'status']));
$user->allowField($whitelist);

这样既安全，又随表结构自动更新。

---

不复杂但容易忽略