DB::raw本身不防SQL注入，仅标记字符串为可信片段；动态值必须剥离并严格通过whereRaw()等方法的bindings参数绑定，字段名等标识符须白名单校验。
DB::raw 本身不防 SQL 注入，它只是把字符串原样塞进 SQL —— 用错就等于开门放攻击者进来。安全与否，全看你有没有把动态值从 DB::raw 字符串里彻底剥离。
whereRaw() 中的参数绑定必须显式传 bindings 数组
很多人以为 whereRaw('status = ?') 自动绑定了，其实不然：问号占位符不会自己“找”变量，必须靠第二个参数传进去。
- 错误写法：
whereRaw("status = '$status'")—— 直接拼接，$status是"active' OR 1=1 --"就完蛋 - 正确写法：
whereRaw('status = ?', [$status])—— 占位符由 PDO 预处理机制安全填充 - 命名绑定也行：
whereRaw('status = :status', ['status' => $status])，语义更清晰，顺序不敏感 - 多个占位符时，bindings 数组顺序必须严格匹配
?出现顺序，错一位就绑定错值
DB::raw() 只能包裹 SQL 结构，不能混入变量
DB::raw 的唯一职责是声明“这部分是数据库函数或语法结构”，比如 DATE_FORMAT()、JSON_CONTAINS()、CONCAT()。一旦里面出现用户输入，哪怕只一个字段名，风险就来了。
Laravel Cloud
下载
Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。
- 安全示例：
DB::raw("DATE_FORMAT(created_at, '%Y-%m')")—— 全是字面量，无变量 - 危险示例：
DB::raw("CONCAT(first_name, ' ', {$middle})")——$middle是用户输入，应改用DB::raw('CONCAT(first_name, " ", ?)')+ bindings - JSON 场景要先
json_encode($data)，再作为 binding 传入：whereRaw('JSON_CONTAINS(meta, ?)', [json_encode(['tag' => 'hot'])]) - 别用
DB::raw构造 LIKE 模式："%{$search}%"必须在 PHP 层拼好，再传进 bindings，而不是塞进 raw 字符串
动态列名、表名、排序字段不能靠 bindings，必须白名单校验
占位符 ? 和 :name 只能绑定值（values），永远不能绑定标识符（identifiers）。所以 select("col_{$field}")、orderBy($sortField)、DB::table($table) 这类操作，$field 必须提前验证。
- 控制器层首选 Laravel 验证：
'sort_field' => 'required|in:name,email,created_at' - 服务层或队列中用运行时校验：
in_array($sortField, ['name', 'email', 'created_at'], true) - 别信
(int)$field或trim($field)—— 强转整型后仍是 1，但若该变量后续被用于日志、缓存 key 或其他拼接场景，隐患还在 - 特别注意：即使没用
selectRaw()，select("product_variant_$id")同样危险，PHP 字符串拼接发生在 SQL 构建前，PDO 完全无法干预
DB::select() 等原生查询必须手动绑定，没有例外
DB::select()、DB::update()、DB::insert() 这些方法不走查询构建器链式调用，底层就是直连 PDO。它们不会自动帮你加占位符，也不识别你写的 $id 是不是用户输入。
- 绝对禁止：
DB::select("SELECT * FROM users WHERE id = " . $id) - 必须写成：
DB::select("SELECT * FROM users WHERE id = ?", [$id]) - 如果要用命名绑定：
DB::select("SELECT * FROM users WHERE status = :status", ['status' => $status]) - 这类调用常见于迁移、命令行脚本或遗留代码中，容易被忽略，但风险一点不低
真正难的不是记住规则，而是每次拼字符串前下意识停顿半秒：这个变量是值，还是标识符？如果是后者，它是否已出现在白名单里？DB::raw 不提供安全兜底，它只提供自由——而自由从来都带着责任。
