ThinkPHP 8.0 不支持动态表名参数绑定，必须通过白名单校验和格式约束（如正则 /^[a-zA-Z\_][a-zA-Z0-9\_]{2,31}$/）双重控制；推荐使用配置映射、租户前缀拼接或模型工厂等安全替代方案。
ThinkPHP 8.0 不支持动态表名的参数绑定，所有涉及 表名、字段名、排序方向、GROUP BY 字段、UNION 子句、LIMIT 偏移量 等结构化语法成分的操作，都必须走白名单校验，不能依赖预处理——因为 PDO 本身就不允许对这些位置使用占位符。
哪些地方会用到动态表名？
常见于多租户系统（按客户分表）、日志归档表（log_202610、log_202609）、内容模型扩展（article_ext、product_ext）或插件式数据表切换场景。典型写法如：
Db::table(input('table_name'))->select()Db::name($_GET['model'])->where(...)->select()Db::query("SELECT * FROM {$_GET['table']} WHERE status = ?", [$status])
为什么不能用 input() 直接传表名？
表名是 SQL 语法结构的一部分，不是“值”。PDO 预处理只绑定 WHERE 条件中的值、INSERT 的字段值、UPDATE 的 SET 值，对 FROM、JOIN、ORDER BY、GROUP BY 后的标识符完全不生效。一旦用户控制表名，就等于把 SQL 结构交由攻击者定义：
- 输入
user; DROP TABLE user--可能触发多语句执行（取决于 PDO 配置） - 输入
user WHERE 1=1 UNION SELECT password FROM admin可能绕过单表限制 - 输入
information_schema.tables可直接探测数据库结构
安全做法：白名单 + 格式约束双重校验
必须同时满足两个条件才允许使用该表名：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
立即学习“PHP免费学习笔记（深入）”；
-
存在性白名单：预定义合法表名数组，如
['user', 'order', 'goods', 'log_login']，用in_array($table, $whitelist)判定 -
格式合法性：仅允许字母、数字、下划线，且不能以数字开头，长度建议限制在 3–32 字符内；可用正则
/^[a-zA-Z_][a-zA-Z0-9_]{2,31}$/过滤 - 若需支持前缀（如
tenant_），应将前缀硬编码，仅动态部分走白名单，例如：'tenant_' . ($table = in_array($t, $valid) ? $t : 'user')
替代方案：配置映射而非用户输入
更推荐的做法是避免让用户直接决定表名，改用业务语义映射：
- 前端传
type=user，后端查配置['user' => 'sys_user_v2', 'order' => 'trade_order_2026'] - 租户 ID 绑定固定表前缀，如
tenant_id=123 → 表名前缀 tenant_123_，再拼接白名单内的基础表名 - 使用模型类工厂：根据输入类型实例化不同模型，由模型内部封装真实表名，控制器层不接触原始表名字符串
本质上，动态表名没有“安全拼接”一说，只有“可控来源”和“显式授权”。只要没经过白名单或强映射，一律视为高危入口，需在代码审计中重点标记。
