ThinkPHP SQL注入漏洞需升级、代码加固与配置防护三管齐下：优先升级至5.0.16+/5.1.31+，无法升级时校验字段名、白名单控制排序字段，关闭调试与危险函数，并落实输入过滤与最小权限原则。
ThinkPHP 的 SQL 注入漏洞不能靠单一操作解决，核心在于“字段名拼接”和“表达式直传”两类风险。官方虽在 5.0.16、5.1.26、5.1.31 等版本中陆续修复，但很多项目仍运行在旧版上，必须结合升级、代码加固与配置防护三管齐下。
优先升级到已修复版本
这是最彻底、最低风险的方案：
- ThinkPHP 5.0.x 用户 → 升级至 5.0.16 或更高（如 5.0.24），官方已在该版本修复 parseData() 中数组值绕过问题
- ThinkPHP 5.1.x 用户 → 升级至 5.1.31 或 5.1.40（5.1.26 起修复 parseKey()/parseData/parseArrayData 多处字段名注入）
- 执行命令：
composer update topthink/framework:^5.1.31，升级后务必测试 order、group、where、insertAll 等动态字段相关功能 - 注意：5.0.x 和 5.1.x 均已停止官方维护，生产环境应规划迁移到 ThinkPHP 6.3+ 或 8.0+ LTS 版本
无法升级时的手动代码加固
重点拦截字段名、排序字段、聚合参数等标识符类输入（参数化查询对它们无效）：
- 在
library/think/db/Builder.php的parseData()开头添加键名校验：只允许字母、数字、下划线、短横线，长度 ≤64，拒绝含.、`、(、UNION、SELECT等字符 - 在
library/think/db/builder/Mysql.php的parseKey()和parseArrayData()中，对所有键名调用同一校验逻辑，避免绕过 - 对用户控制的排序字段（如
$_GET['order']），强制使用白名单映射：$allow = ['id', 'name', 'create_time', 'status'];<br>$field = input('order/s', 'id');<br>$realField = in_array($field, $allow) ? $field : 'id';
关闭高危配置与禁用危险函数
防止错误回显和 RCE 链路被利用：
立即学习“PHP免费学习笔记（深入）”；
- 确保
config/app.php中'app_debug' => false，关闭调试模式 - 设置
'url_route_must' => true，启用强制路由，阻断?s=类非法路由绕过 - 在
php.ini中禁用：system、exec、shell_exec、assert、call_user_func_array等函数 - 关闭追踪：
'app_trace' => false，避免路径和配置泄露
开发规范必须落地
框架补丁只是兜底，开发者才是最后一道防线：
- 禁止使用
where('field', 'exp', $userInput)接收用户输入；改用where('field', 'like', "%{$input}%")或闭包绑定 - 所有外部输入统一走
input()，并指定过滤规则，例如：input('username/s', '', 'htmlspecialchars,trim') - 聚合函数（
max()、count()）和分组字段（group()）不接受用户直传，全部映射为内部别名 - 数据库账号使用最小权限原则，禁止授予
FILE、CREATE、DROP等非必要权限
