order by排序逻辑在sql中实现，php仅执行查询；多字段排序按逗号分隔从左到右优先；用户输入的排序参数须用白名单校验防注入；pdo预处理不支持绑定字段名或方向；null排序行为因数据库而异，需显式控制。
ORDER BY 后面直接跟字段和排序方向
PHP 本身不负责 SQL 排序，排序逻辑全在 SELECT 语句的 ORDER BY 子句里。你用 mysqli 或 PDO 执行查询时，只要 SQL 写对，结果自然按指定顺序返回。
升序用 ASC（可省略），降序必须显式写 DESC：
SELECT * FROM users ORDER BY name ASC;
SELECT * FROM users ORDER BY created_at DESC;
多个字段排序时，用逗号分隔，优先级从左到右：
SELECT * FROM orders ORDER BY status DESC, updated_at DESC;
PHP 拼接排序参数要防 SQL 注入
如果排序字段或方向来自用户输入（比如 URL 参数 ?sort=price&order=desc），不能直接拼进 SQL 字符串，否则有注入风险。
立即学习“PHP免费学习笔记（深入）”；
安全做法是：用白名单校验字段名和方向，再拼接：
$allowed_fields = ['name', 'email', 'created_at', 'price'];$sort = in_array($_GET['sort'] ?? '', $allowed_fields) ? $_GET['sort'] : 'id';$order = strtolower($_GET['order'] ?? '') === 'desc' ? 'DESC' : 'ASC';- 最终 SQL：
"SELECT * FROM products ORDER BY $sort $order"
别用 mysqli_real_escape_string() 处理字段名——它只对字符串值有效，对标识符（如列名、表名）无效。
PDO 预处理不能绑定 ORDER BY 的字段名
PDO::prepare() 只允许对「值」占位（? 或 :name），不能对字段名、表名、排序方向做参数化。下面写法会报错：
$stmt = $pdo->prepare("SELECT * FROM users ORDER BY ? ?"); // ❌ 错误正确方式仍是白名单过滤后拼接字段和方向，但值部分仍可用预处理：
$stmt = $pdo->prepare("SELECT * FROM users WHERE status = ? ORDER BY $sort $order"); // ✅ $sort/$order 是白名单校验过的如果你硬要用预处理来“模拟”排序参数，只能靠条件分支，比如根据 $_GET['sort'] 分别 prepare 不同 SQL，但通常没必要，反而增加维护成本。
注意 NULL 值在排序中的位置
MySQL 默认把 NULL 当作最小值（升序排最前，降序排最后），PostgreSQL 则相反（NULLS FIRST/LAST 可控）。如果业务要求统一行为，得显式声明：
- MySQL 8.0+ 支持：
ORDER BY price DESC NULLS LAST - 兼容旧版 MySQL 或需要跨数据库：用
IS NULL表达式调整顺序，例如：ORDER BY (price IS NULL) ASC, price DESC—— 先排非 NULL，再按 price 降序
这个细节容易被忽略，尤其当列表页默认显示“价格从高到低”，结果最高价商品却没出现在第一页，大概率是 NULL 价格混在了顶部。
