PHP中ORDER BY由SQL执行，PHP仅发送语句；MySQL默认ASC但须显式声明；字段名需白名单校验防注入，不可用PDO参数占位；NULL排序需显式处理以避免分页错乱。
PHP 查询数据时的 ORDER BY 排序，本质是 SQL 层面的控制，PHP 本身不参与排序逻辑——它只负责把带 ORDER BY 的语句发给数据库执行。
MySQL 中 ORDER BY 升序降序写法必须显式声明
默认是升序（ASC），但不能省略或依赖“隐式规则”来保证行为一致。很多线上 bug 就源于误以为 ORDER BY id 等价于 ORDER BY id ASC，其实语义上没错，但可读性和维护性差，且某些旧版 MySQL 或严格模式下可能触发警告。
-
ORDER BY created_at ASC：按时间从早到晚 -
ORDER BY score DESC：按分数从高到低 -
ORDER BY status ASC, updated_at DESC：先按状态升序，同状态内按更新时间倒序
PHP 中拼接 ORDER BY 要防 SQL 注入，别用字符串拼接字段名
用户可控的排序字段（比如前端传来的 sort=price）绝不能直接插进 SQL。字段名无法用预处理参数占位，必须白名单校验。
$allowed_sort_fields = ['name', 'price', 'created_at', 'status']; $sort_field = $_GET['sort'] ?? 'created_at'; $sort_field = in_array($sort_field, $allowed_sort_fields) ? $sort_field : 'created_at';$sort_direction = strtolower($_GET['order'] ?? 'desc') === 'asc' ? 'ASC' : 'DESC';
立即学习“PHP免费学习笔记（深入）”；
$sql = "SELECT * FROM products ORDER BY
$sort_field$sort_direction"; // 注意：字段名用反引号包裹，防止关键词冲突（如 order、group）
用 PDO 预处理时，ORDER BY 参数不能用 ? 占位
PDO 的 ? 或命名参数只适用于值（WHERE 右侧、INSERT 值等），不支持字段名、表名、关键字。下面这段代码会报错或静默失败：
// ❌ 错误示例：PDO 不允许这样
$stmt = $pdo->prepare("SELECT * FROM users ORDER BY ? ?");
$stmt->execute([$field, $direction]); // 执行失败，或被当成字符串值处理
正确做法仍是白名单 + 字符串拼接（仅限字段名和方向），但值部分继续用预处理：
// ✅ 正确组合：字段和方向白名单拼接，其他值仍用参数
$where_sql = "";
$params = [];
if (!empty($_GET['status'])) {
$where_sql = "WHERE status = ?";
$params[] = $_GET['status'];
}
$sort_field = in_array($_GET['sort'] ?? '', ['id', 'name']) ? $_GET['sort'] : 'id';
$sort_dir = in_array($_GET['order'] ?? '', ['ASC', 'DESC']) ? $_GET['order'] : 'DESC';
$sql = "SELECT * FROM users $where_sql ORDER BY $sort_field $sort_dir";
$stmt = $pdo->prepare($sql);
$stmt->execute($params);
注意 NULL 值在排序中的位置差异
MySQL 默认把 NULL 当作“最小值”，所以 ORDER BY xxx ASC 时 NULL 排最前；DESC 时排最后。如果业务要求统一把 NULL 放底部（无论升序降序），得显式处理：
-
ORDER BY IS NULL xxx, xxx ASC—— 先按是否为 NULL 排，再按值排 ORDER BY IF(IS NULL xxx, 1, 0), xxx DESC- 更清晰写法：
ORDER BY (xxx IS NULL) ASC, xxx DESC
这个细节在报表、分页场景中容易引发数据错乱，特别是当字段允许为空又参与关键排序时。
