ThinkPHP 8.2 事务内执行原生 SQL 必须使用 PDO 预处理（如 Db::execute("UPDATE user SET status = ? WHERE id = ?", [$status, $id])），禁用字符串拼接；字段名、表名、排序方向等标识符须白名单校验；Db::raw() 和 whereRaw() 等显式放弃绑定的操作在事务中尤为危险，需严格规避。
在 ThinkPHP 8.2 中，事务内执行原生 SQL 是高风险操作，因为事务本身不提供 SQL 注入防护，防护责任完全落在 SQL 构造环节。只要用了 Db::execute()、Db::query() 或 Db::raw() 等直接拼接字符串的方式，且参数未隔离，就等于主动放弃框架的绑定机制。
必须用参数绑定，不能拼字符串
ThinkPHP 8.2 的原生查询支持 PDO 预处理语法，这是唯一可靠的方式：
- 使用占位符
?或命名占位符（如:id），再通过第二个参数传入值数组 - 例如：
Db::execute("UPDATE user SET status = ? WHERE id = ?", [$status, $id]) - 禁止写法：
Db::execute("UPDATE user SET status = '$status' WHERE id = $id")—— 单引号、双引号、无引号拼接全都不安全 - 即使在事务中（
Db::transaction(function () { ... })），也必须坚持该规则
字段名/表名/排序方向等标识符不能参数化，必须白名单校验
预处理只能绑定数据值，无法绑定字段名、表名、ORDER BY 方向等 SQL 标识符。这类动态内容一旦来自用户输入，必须严格过滤：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 只允许从预设列表中选取，例如：
$allowSort = ['id', 'name', 'create_time']; $sort = in_array($inputSort, $allowSort) ? $inputSort : 'id'; - 排序方向限定为
ASC或DESC，用三元判断：$order = strtolower($inputOrder) === 'desc' ? 'DESC' : 'ASC'; - 表名同理，禁止用
input('table')直接拼进FROM子句
避免在事务中混用 Db::raw() 和 whereRaw()
Db::raw() 和闭包中调用的 whereRaw()、havingRaw() 都会跳过参数绑定，属于显式放弃防护：
立即学习“PHP免费学习笔记（深入）”；
- 错误示例：
Db::raw("$_GET['status']")、whereRaw("price > " . input('min')) - 正确替代：改用数组条件（如
where('price', '>', $min)）或带绑定的whereRaw('price > ?', [$min]) - 事务内尤其要警惕——一个
whereRaw就可能让整段事务逻辑失守
开启严格模式并校验字段类型
ThinkPHP 8.2 默认启用字段类型自动转换，但需确认配置生效：
- 检查数据库配置中
'strict' => true是否开启（PDO 模式下强制真实预处理） - 对数字类参数（如
id、limit、offset）手动强转：(int)input('id')、intval(input('limit')) - 分页场景中的
LIMIT ?, ?必须用两个绑定参数，不可拼成"LIMIT " . $limit
