Laravel怎么防止SQL注入_Laravel查询构造器安全机制-Laravel-PHP中文网

Laravel通过参数化查询防止SQL注入，查询构造器和Eloquent ORM自动绑定参数，避免用户输入被解析为SQL代码；使用whereRaw等方法时需手动绑定参数，并对表名、字段名采用白名单验证，确保安全。

laravel怎么防止sql注入_laravel查询构造器安全机制

Laravel 通过查询构造器（Query Builder）和 Eloquent ORM 提供了内置的安全机制来有效防止 SQL 注入攻击。核心原理是使用参数化查询（预处理语句），确保用户输入不会被当作 SQL 代码执行。

Laravel 的查询构造器在底层使用 PDO 预处理语句，所有动态数据都会作为参数绑定，而不是直接拼接进 SQL 字符串。

例如：

DB::table('users')->where('id', $userInput)->get();

即使 $userInput 是恶意字符串如 1 OR 1=1，Laravel 也会将其作为值处理，生成类似：

SELECT * FROM users WHERE id = ?

然后将用户输入作为参数传入，避免 SQL 解析错误或注入风险。

当使用 whereRaw、selectRaw 或 raw 方法时，如果包含用户输入，必须手动绑定参数以确保安全。

不安全写法（禁止）：

DB::table('users')->whereRaw("name = '{$name}'");

安全写法（推荐）：

DB::table('users')->whereRaw('name = ?', [$name]);

或使用数组绑定命名参数：

Synthesys

Synthesys是一家领先的AI虚拟媒体平台，用户只需点击几下鼠标就可以制作专业的AI画外音和AI视频

下载

DB::table('users')->whereRaw('name = :name', ['name' => $name]);

不要将用户输入直接用于表名、字段名或排序字段，这些无法通过参数化防护。

错误示例：

DB::table($tableName)->orderBy($sortField);

应使用白名单机制验证输入：

$allowedTables = ['users', 'posts'];
$allowedFields = ['name', 'email', 'created_at'];
if (! in_array($tableName, $allowedTables)) {
abort(403);
}

使用 Eloquent 操作数据库时，如 find、where、update 等方法，全部基于查询构造器，自动启用参数化查询。

例如：

User::where('email', $email)->first();

无需额外处理，安全由框架保障。

基本上就这些。只要遵循 Laravel 推荐的查询方式，避免裸写 SQL 拼接，就能有效防止 SQL 注入。关键点是：能用 Query Builder 就不用 raw，要用 raw 就必须绑定参数。