答案：在 Laravel 中通过白名单机制实现 API 的动态排序和过滤，确保安全性与灵活性。首先定义路由并创建控制器方法，接收 sort、direction 等查询参数；接着对排序字段进行校验，仅允许指定字段参与 orderBy 操作；然后设置可过滤字段白名单，支持精确匹配和模糊搜索；最后结合分页返回 JSON 数据。该方式有效防止 SQL 注入，便于复用和扩展。
在 Laravel 中为 API 实现基于查询参数的动态排序和过滤，是一种常见且实用的功能。用户可以通过 URL 参数灵活控制返回数据的顺序和条件，比如 /api/users?sort=name&direction=desc&role=admin。下面介绍一种简洁、安全且可扩展的实现方式。
1. 基本路由与控制器设置
首先定义一个 API 路由指向控制器方法：
Route::get('/users', [UserController::class, 'index']);
在 UserController 的 index 方法中接收查询参数并处理逻辑。
2. 实现动态排序
允许客户端通过 sort 指定字段，direction 控制升序或降序（默认升序）。
示例代码：
public function index(Request $request)
{
$query = User::query();
// 排序
if ($request->filled('sort')) {
$sortField = $request->input('sort');
$direction = $request->input('direction', 'asc');
// 白名单校验防止非法字段注入
$allowedSorts = ['id', 'name', 'email', 'created_at'];
if (in_array($sortField, $allowedSorts)) {
$query->orderBy($sortField, $direction);
}
}
return response()->json($query->paginate(10));
}
3. 实现动态过滤
支持按字段进行等值或模糊匹配过滤，例如 ?role=admin&name=John。
添加过滤逻辑：
// 过滤：只允许特定字段参与 where 查询
$allowedFilters = ['role', 'status', 'email'];
foreach ($allowedFilters as $field) {
if ($request->filled($field)) {
$value = $request->input($field);
// 支持模糊搜索的字段
if (in_array($field, ['name', 'email'])) {
$query->where($field, 'like', "%{$value}%");
} else {
$query->where($field, $value);
}
}
}
这样可以避免任意字段被用于查询，提升安全性。
4. 组合使用与分页输出
将排序和过滤组合后，使用 paginate 返回结构化 JSON 数据，便于前端分页展示。
完整方法示例：
public function index(Request $request)
{
$query = User::query();
$allowedSorts = ['id', 'name', 'email', 'created_at'];
$allowedFilters = ['role', 'status', 'email', 'name'];
// 动态排序
if ($request->filled('sort')) {
$sortField = $request->input('sort');
if (in_array($sortField, $allowedSorts)) {
$direction = $request->input('direction', 'asc');
$query->orderBy($sortField, $direction);
}
}
// 动态过滤
foreach ($allowedFilters as $field) {
if ($request->filled($field)) {
$value = $request->input($field);
if (in_array($field, ['name', 'email'])) {
$query->where($field, 'like', "%{$value}%");
} else {
$query->where($field, $value);
}
}
}
return response()->json($query->paginate(10));
}
基本上就这些。通过白名单机制控制可排序和过滤的字段，既能满足灵活性，又能防止 SQL 注入或意外暴露敏感字段。后期可封装成 Trait 或服务类复用到其他资源接口。
