ORM防注入的核心是参数绑定，通过预处理语句将SQL结构与数据分离，确保用户输入不会改变查询逻辑；正确使用ORM的API和参数绑定功能，避免拼接原始SQL，可有效防止注入。
PHP使用ORM防注入，核心在于充分利用其参数绑定机制，避免任何形式的用户输入直接拼接SQL。ORM框架本身设计之初就考虑了安全，通过预处理语句（Prepared Statements）将SQL结构与数据分离，使得恶意代码无法改变查询的意图。所以，关键不是ORM能不能防注入，而是我们怎么用它才能真正防住。说白了，ORM已经给你配好了“防弹衣”，你得知道怎么穿，别自己又给扒了。
ORM在防注入方面做得确实不错，它把那些繁琐的、容易出错的字符串转义和拼接工作都自动化了。当你用
Model::where('column', $value)这样的方式查询时，ORM会在底层将$value作为参数传递给数据库，而不是直接拼接到SQL字符串里。数据库收到预处理语句后，会先编译SQL结构，然后再把参数填充进去，这样一来，即使
$value里包含了
' OR 1=1 --这样的恶意代码，数据库也只会把它当成一个普通的字符串值来处理，根本不会执行。这就像你跟快递员说“把这个包裹送到张三家”，快递员不会去拆包裹看里面是不是炸弹，他只管把包裹送到。
ORM防注入的核心原理是什么？
在我看来，ORM防注入的核心，毫无疑问就是“参数绑定”或者说“预处理语句”。这玩意儿不是ORM发明的，而是数据库驱动层（比如PHP的PDO）提供的能力。ORM只是把这个能力封装起来，让你用起来更方便、更直观。
具体来说，当你通过ORM执行查询时，比如
User::where('email', $userEmail)->first();，ORM会生成一个带有占位符的SQL语句，比如SELECT * FROM users WHERE email = ?。然后，它会把
$userEmail这个变量作为一个独立的参数，传递给数据库驱动。数据库驱动在执行这条SQL时，会把这个参数安全地绑定到占位符上。
立即学习“PHP免费学习笔记（深入）”；
这个过程之所以安全，是因为SQL语句的结构和数据是分开传输的。数据库在处理占位符的SQL时，已经确定了查询的结构，之后再接收到的数据，无论长什么样，都会被当作数据来处理，而不会被解释为SQL指令的一部分。这就从根本上杜绝了攻击者通过数据来改变SQL语句执行逻辑的可能性。这比那种手动转义字符串的方式要可靠得多，因为手动转义很容易遗漏，或者在不同的字符集下出现问题，而参数绑定是数据库层面提供的原生支持，安全性更高。
哪些常见的ORM操作容易导致SQL注入漏洞？
虽然ORM自带防注入光环，但有些操作确实是“雷区”，一不小心就会把ORM的防护给绕过去。我见过不少开发者，包括我自己，在追求灵活性或性能时，不自觉地就踩了坑。
最常见的就是那些允许你直接编写原始SQL片段的方法，比如Laravel Eloquent里的
whereRaw、
selectRaw、
orderByRaw、
havingRaw，或者是直接执行原始SQL的
DB::statement。这些方法本身不是问题，问题在于你如何使用它们。
如果你像这样写：
User::whereRaw("name = '" . $_GET['name'] . "'")->get();
或者更糟糕的：
DB::statement("DROP TABLE users WHERE id = " . $_GET['id']);
那恭喜你，你成功地把ORM的防注入机制给废了。因为你直接把用户输入拼接到SQL字符串里了，ORM根本没机会介入进行参数绑定。
另一个容易被忽视的点是动态表名或列名。ORM通常不会对表名或列名进行参数绑定，因为它们是SQL结构的一部分，而不是数据。如果你允许用户输入来决定查询哪个表或哪个列，比如：
$tableName = $_GET['table'];
DB::table($tableName)->get();这里如果
$tableName是
users; DROP TABLE orders;，那就麻烦了。对于这类情况，你需要自己做严格的白名单验证，或者限制用户只能选择预设的选项。
还有就是
LIKE查询。虽然ORM通常会处理
LIKE的参数绑定，但如果你手动构建
LIKE子句，比如
whereRaw("name LIKE '%" . $_GET['keyword'] . "%'")，同样会面临注入风险。正确的做法是让ORM处理，或者在whereRaw中显式地使用参数绑定。
说到底，只要你把用户输入直接当作SQL的一部分来拼接，而不是作为参数传递，就有可能出现注入。
如何确保ORM在复杂查询中依然安全地防止注入？
要确保ORM在复杂查询中依然安全，我的经验是，始终要保持警惕，并且坚持几个原则。
首先，也是最重要的，优先使用ORM提供的API方法。能用
where就不用
whereRaw，能用
join就不用
joinRaw。ORM提供的这些方法，都是经过精心设计和测试的，它们在底层会自动处理参数绑定，确保安全。比如，要进行复杂的条件判断，可以链式调用
where、
orWhere，或者使用闭包构建嵌套条件。
其次，如果确实需要使用
whereRaw、
selectRaw等方法，务必使用其提供的参数绑定机制。这些方法通常都接受第二个参数，用于传递绑定值。 正确示范：
User::whereRaw('name = ? AND status = ?', [$_GET['name'], $_GET['status']])->get();
或者命名绑定：
User::whereRaw('name = :name AND status = :status', ['name' => $_GET['name'], 'status' => $_GET['status']])->get();
这样，即使你写了原始SQL片段，ORM依然能通过参数绑定来防注入。
第三，对动态的表名、列名、排序字段等进行严格的验证和白名单处理。由于这些是SQL结构的一部分，ORM无法自动绑定。你需要在应用层进行验证，只允许预设的、安全的字符串通过。例如，如果你允许用户选择排序字段，可以这样做：
$allowedSortColumns = ['id', 'name', 'created_at'];
$sortBy = in_array($_GET['sort'], $allowedSortColumns) ? $_GET['sort'] : 'id';
User::orderBy($sortBy)->get();
第四，不要盲目信任任何来自外部的输入。即便是ORM已经提供了防注入机制，前端的输入验证和后端的业务逻辑验证仍然是不可或缺的第一道防线。这是一种防御深度，即便ORM层面出现某种意想不到的漏洞，或者你的代码在使用ORM时犯了错误，输入验证也能起到一定的缓冲作用。
最后，定期进行代码审查和安全审计。尤其是在涉及数据库操作的代码块，多一双眼睛检查，总能发现一些潜在的问题。很多时候，注入漏洞不是因为ORM本身不安全，而是开发者在使用时不慎，引入了不规范的操作。
