答案：使用DB::raw()可插入原始SQL片段，如函数或计算，需配合查询构造器；执行原始查询则用DB::select、insert、update、delete等方法，直接运行SQL语句，但须通过参数绑定防注入。
Laravel原始表达式允许你直接在查询构造器中使用SQL函数和表达式，而无需担心转义问题。原始查询则允许你执行完整的SQL语句，提供了最大的灵活性，但也需要你自行处理安全问题。
使用
DB::raw()来构造原始表达式，并在查询构造器中使用。对于原始查询，可以使用
DB::select()、
DB::insert()、
DB::update()和
DB::delete()等方法。
如何在Laravel中使用DB::raw()?
DB::raw()的主要作用是告诉Laravel，你提供的字符串应该被当作原始SQL片段，而不是需要转义的普通字符串。这在需要使用数据库特定函数或执行复杂计算时非常有用。
例如，你想查询用户表，并按照用户名的长度排序：
$users = DB::table('users')
->select('id', 'name')
->orderBy(DB::raw('LENGTH(name)'))
->get();在这里，
LENGTH(name)是一个MySQL函数，用于获取用户名的长度。 如果直接将
'LENGTH(name)'传递给
orderBy()，Laravel会将其视为一个普通的列名，而不是一个SQL函数。 使用
DB::raw()告诉Laravel不要转义这个字符串，直接将其作为SQL的一部分。
再比如，你需要计算两个日期之间的天数差：
$results = DB::table('orders')
->select(DB::raw('DATEDIFF(end_date, start_date) as days_difference'))
->get();DATEDIFF(end_date, start_date)同样是MySQL函数。
需要注意的是，使用
DB::raw()时要格外小心，因为它会绕过Laravel的默认转义机制。 如果你将用户输入直接传递给
DB::raw()，可能会导致SQL注入漏洞。 务必对用户输入进行适当的验证和清理。
Laravel中执行原始查询的步骤是什么？
Laravel提供了多种方法来执行原始SQL查询，这在需要执行复杂查询或利用数据库特定功能时非常有用。
首先，你需要引入
DBfacade：
use Illuminate\Support\Facades\DB;
然后，可以使用以下方法执行查询：
-
DB::select()
: 用于执行SELECT
语句并返回结果。$users = DB::select('SELECT * FROM users WHERE id = ?', [1]);第二个参数是一个数组，用于绑定查询参数，防止SQL注入。
-
DB::insert()
: 用于执行INSERT
语句。DB::insert('INSERT INTO users (name, email) VALUES (?, ?)', ['John Doe', 'john@example.com']); -
DB::update()
: 用于执行UPDATE
语句。$affected = DB::update('UPDATE users SET votes = 100 WHERE name = ?', ['John Doe']);$affected
变量会返回受影响的行数。 -
DB::delete()
: 用于执行DELETE
语句。$deleted = DB::delete('DELETE FROM users WHERE id = ?', [1]);$deleted
变量会返回被删除的行数。 -
DB::statement()
: 用于执行任何类型的SQL语句，但不返回结果。DB::statement('DROP TABLE users');
在执行原始查询时，务必注意以下几点：
- SQL注入: 始终使用参数绑定来防止SQL注入。 不要直接将用户输入拼接到SQL语句中。
-
错误处理: Laravel不会自动处理原始查询中的错误。 你需要使用
try-catch
块来捕获异常。 - 数据库特定语法: 原始查询允许你使用数据库特定的语法，但也意味着你的代码可能无法在不同的数据库系统之间移植。
何时应该使用原始表达式或原始查询？
选择使用原始表达式还是原始查询，取决于你的具体需求和对灵活性的要求。
使用原始表达式的情况：
-
需要使用数据库特定函数： 当你需要使用数据库提供的特定函数，而Laravel的查询构造器没有提供相应的封装时，
DB::raw()
是一个不错的选择。 -
需要在查询中执行复杂计算： 如果需要在查询中执行复杂的数学运算或字符串操作，使用
DB::raw()
可以将这些计算直接放到SQL语句中，提高查询效率。 -
需要在查询构造器中插入SQL片段：
DB::raw()
可以让你在Laravel的查询构造器中插入自定义的SQL片段，从而灵活地构建复杂的查询。
使用原始查询的情况：
- 需要执行非常复杂的查询： 当查询非常复杂，使用Laravel的查询构造器难以表达时，可以直接编写完整的SQL语句。
- 需要利用数据库的特定功能： 有些数据库提供了独特的功能，Laravel的查询构造器可能没有提供支持。 使用原始查询可以让你充分利用这些功能。
- 需要执行非标准的SQL语句： 例如，创建表、修改表结构等操作，通常需要使用原始查询。
一般来说，如果可以使用Laravel的查询构造器和
DB::raw()来完成任务，就尽量避免使用原始查询。 这样可以提高代码的可读性和可维护性，并减少SQL注入的风险。 只有在确实需要更大的灵活性和控制权时，才考虑使用原始查询。
如何避免在使用原始查询时出现SQL注入？
SQL注入是一种常见的安全漏洞，攻击者可以通过在用户输入中注入恶意SQL代码来篡改或窃取数据库中的数据。 在使用原始查询时，由于你需要手动编写SQL语句，因此更容易受到SQL注入的攻击。
以下是一些避免SQL注入的有效方法：
-
始终使用参数绑定： 不要直接将用户输入拼接到SQL语句中。 而是使用参数绑定，将用户输入作为参数传递给SQL语句。 Laravel会自动对参数进行转义，防止恶意代码的执行。
$username = $_POST['username']; $password = $_POST['password']; $users = DB::select('SELECT * FROM users WHERE username = ? AND password = ?', [$username, $password]); 对用户输入进行验证和清理： 在将用户输入用于查询之前，务必对其进行验证和清理。 验证可以确保输入符合预期的格式和范围，清理可以移除潜在的恶意字符。
-
使用预处理语句： 预处理语句是一种将SQL语句和参数分开处理的技术。 数据库会先编译SQL语句，然后再将参数传递给它。 这样可以防止攻击者通过修改参数来改变SQL语句的含义。
虽然Laravel的参数绑定已经使用了预处理语句，但在手动构建查询时，仍然需要注意这一点。
最小权限原则： 确保数据库用户只拥有执行必要操作的权限。 避免使用具有过高权限的用户来执行查询，以减少潜在的损害。
除了DB::raw()，还有其他方式可以执行原生SQL吗？
除了
DB::raw()和
DB::select()等方法，Laravel还提供了一些其他的选项来执行原生SQL，但它们的使用场景略有不同。
-
PDO (PHP Data Objects): Laravel底层使用了PDO来与数据库进行交互。 你可以直接访问PDO实例来执行原生SQL。
$pdo = DB::connection()->getPdo(); $statement = $pdo->prepare('SELECT * FROM users WHERE id = :id'); $statement->execute(['id' => 1]); $users = $statement->fetchAll(PDO::FETCH_ASSOC);这种方式提供了最大的灵活性，但也需要你手动处理连接管理和错误处理。
-
存储过程: 如果你的数据库支持存储过程，你可以通过Laravel来调用它们。
DB::select('CALL GetUserByID(?)', [1]);存储过程可以将复杂的逻辑封装在数据库中，提高代码的可重用性和安全性。
-
事件监听器: 你可以使用事件监听器来拦截Laravel的查询，并修改它们或执行额外的SQL语句。
例如，你可以监听
Illuminate\Database\Events\QueryExecuted
事件，并在查询执行后记录日志。
总的来说，
DB::raw()和
DB::select()等方法是最常用的执行原生SQL的方式。 PDO 和存储过程则提供了更高级的选项，适用于特定的场景。 无论选择哪种方式，都需要注意SQL注入的风险，并采取相应的安全措施。
