ThinkPHP 5.1 命名参数防注入依赖 PDO 真实预处理，SQL 与参数分离发送，恶意输入仅作字符串值处理；不可拼接 SQL、不支持绑定表名/字段名，须白名单校验。
ThinkPHP 5.1 中使用命名参数（如 :name）进行绑定，本质是依托 PDO 的真实预处理机制，通过SQL 指令与用户数据彻底分离来防注入——不是靠转义，而是让数据库引擎从语法层面拒绝把参数当代码执行。
H3 命名参数如何触发真实预处理
TP5.1 的 Db::query() 或模型查询中，当你写：
Db::query('SELECT * FROM user WHERE status = :status AND level > :level', [
'status' => input('status'),
'level' => input('level')
]);框架会将该 SQL 字符串和参数数组一并交给 PDO 的 prepare() + execute() 流程。PDO 在底层先向 MySQL 发送纯 SQL 模板（不含任何用户值），MySQL 解析并生成执行计划；之后再单独发送参数值，数据库只将其作为标量数据填充，不参与语法解析。哪怕 input('status') 是 'admin\' OR 1=1 -- '，最终也只会被当作一个字符串字面量匹配，不会改变 SQL 结构。
H3 为什么不能写成字符串拼接？
以下写法完全失效，与命名参数无关：
-
Db::query("SELECT * FROM user WHERE name = '" . input('name') . "'") -
Db::query('SELECT * FROM user WHERE name = \'' . input('name') . '\'')
因为 PHP 在调用query()前就已完成字符串拼接，恶意内容已混入 SQL 文本，PDO 根本没机会做参数隔离。命名参数的安全性只存在于占位符未被破坏的前提下。
H3 和问号占位符有区别吗？
功能等价，都是 PDO 支持的标准方式：
- 问号方式：
Db::query('... WHERE a = ? AND b = ?', [$a, $b])→ 依赖顺序 - 命名方式：
Db::query('... WHERE a = :a AND b = :b', ['a'=>$a, 'b'=>$b])→ 依赖键名，更易读、可复用、支持部分参数省略
两者都强制要求：参数必须以数组形式传入 execute() 阶段，不可提前拼进 SQL 字符串。
H3 注意边界：命名参数不保护字段名和表名:status 可以安全绑定值，但 :table_name 或 :order_field 不行——PDO 不支持绑定标识符（identifier）。如果需要动态表名或排序字段，必须走白名单校验：
立即学习“PHP免费学习笔记（深入）”；
$allowedTables = ['user', 'article', 'log'];
$table = input('table');
if (!in_array($table, $allowedTables)) {
throw new Exception('Invalid table name');
}
Db::query("SELECT * FROM {$table} WHERE id = ?", [input('id')]);否则，哪怕用了 :table，也会因无法绑定而报错或被绕过。
不复杂但容易忽略
