ThinkPHP5.0的delete()操作本身不执行SQL，注入风险源于WHERE条件构造不当；须禁用动态键名、exp表达式及未校验用户输入，强制类型转换、白名单校验、升级至5.0.25+并关闭调试模式。
ThinkPHP5.0 的 delete() 操作本身不直接执行 SQL，而是通过查询构造器生成 WHERE 条件后调用 DELETE 语句。注入风险不出现在 delete 方法里，而来自它所依赖的条件构造方式——只要 WHERE 条件存在用户可控、未校验、未绑定的字段名或表达式，就可能触发 SQL 注入。
避免 where() 中动态键名导致的注入
危险写法：where([input('key') => input('val')]) 或 where(input('condition'))。用户可控制键名（如传 key=updatexml(1,1,1)）或整个条件字符串，绕过所有绑定机制。
- 始终使用固定键名的数组条件：例如
where(['id' => $id, 'status' => 1])，框架会自动参数化 - 禁用任意字段名传入：若业务需多字段筛选，先白名单校验
input('field')是否属于['id', 'username', 'email'] - 绝对不要把
$_GET或input()的原始值直接塞进 where() 第一个参数
禁用 exp/inc/dec 类表达式参与删除条件
ThinkPHP 支持 where('score', 'exp', 'score > 100') 这类表达式模式，但若第二个参数为 'exp' 且第三个参数含用户输入，就会直拼 SQL。5.0.13–5.0.15 版本中该逻辑未校验字段名，极易被利用。
- 删除操作中完全避免使用
'exp'、'inc'、'dec'模式 - 如需复杂条件（如时间范围、模糊匹配），改用闭包 +
whereRaw()并手动绑定参数：where(function ($q) { $q->whereRaw('create_time > ?', [input('start')]); }) - 确保
whereRaw()中的占位符数量与传入参数严格一致，不拼接变量到 SQL 字符串中
慎用主键删除与批量删除的字段校验
delete($id) 单条删除时，框架会对整型主键自动转 int；但若传入的是字符串 ID（如 UUID）或复合主键数组，仍可能被绕过。
立即学习“PHP免费学习笔记（深入）”；
- 单主键删除：显式转换类型，
$id = (int)input('id');再调用delete($id) - 批量删除（
delete([1,2,3])）：先用array_map('intval', $ids)强制转整，或对字符串 ID 使用in_array($id, $allowList, true)校验 - 模型删除前加验证：在模型的
beforeDelete钩子中检查当前操作是否符合权限规则，而非仅依赖 WHERE 条件
升级与配置加固是底线保障
该类注入漏洞在 5.0.16+ 已修复核心解析逻辑，旧版本即使写法规范也存在底层绕过风险。
- 生产环境必须升级至 ThinkPHP 5.0.25+ 或 5.1.40+（官方长期支持版本）
- 临时无法升级时，在
think\db\Builder::parseData()的exp分支前插入字段名校验（参考知识库补丁代码） - 关闭调试模式：
app_debug = false，防止错误信息泄露表结构和字段名
