如何在Laravel 11中安全编写原始SQL查询语句的详细步骤

在Lara vel 11里，直接写原生SQL其实没那么可怕，前提是用对方法。很多人一上来就试图用DB::raw()执行整条语句——但这家伙根本不执行，它只是个标记。真正干活的是这四个：DB::select()、DB::insert()、DB::update()、DB::delete()。记住一点：DB::raw()只配当零件，别把它当发动机。

SELECT 查询必须用 DB::select()

这个方法是专门为查询设计的，返回的是 stdClass 对象数组，底层自动走 PDO 预处理，天然防注入。如果你不小心塞了一句 INSERT 进去，它不会报错，但结果为空——在 MySQL 非严格模式下尤其隐蔽，排查起来够你喝一壶的。

• 占位符只支持 ? 或者命名绑定（比如 :name）。但注意：用命名绑定时需要显式传 PDO 选项，像这样：DB::select('SELECT * FROM users WHERE name = :name', ['name' => 'Alice'], [PDO::ATTR_EMULATE_PREPARES => true])
• IN 子句千万别写成 WHERE id IN (?)——PDO 不支持数组绑定。得手动拼占位符：DB::select("SELECT * FROM users WHERE id IN (" . implode(',', array_fill(0, count($ids), '?')) . ")", $ids)
• 日期字段建议先用 Carbon::parse($date)->toDateTimeString() 格式化好再传进去，否则时区偏差会让你漏掉数据。
• 返回的所有字段值都是字符串——哪怕是 TINYINT(1)，拿到的也是 "1" 而非布尔值。而且不走模型生命周期，$casts、访问器统统失效。

写操作别用 DB::statement() 替代专用方法

DB::insert()、DB::update()、DB::delete() 这三个方法返回明确的语义（影响行数或布尔值），强制参数绑定，安全性比 DB::statement() 高出一个量级。尽量别越界。

• DB::insert() 不会返回自增 ID。想拿到新增那行的 ID？改用 DB::table()->insertGetId() 或者 DB::getPdo()->lastInsertId()。
• DB::update() 和 DB::delete() 的 WHERE 条件务必先验证——漏掉条件或者类型不匹配，可能导致全表更新或删除，这可不是闹着玩的。
• 批量插入别写循环调用 DB::insert()，应该拼成一条 INSERT INTO ... VALUES (),(),() 再用 DB::statement()。
• 顺便提醒：DB::statement() 底层走的是 PDO::exec()，不返回数据集。如果你写个 SELECT 1 进去，它会直接报错。

DB::raw() 只能嵌入构建器，不是执行入口

很多人误以为 DB::raw() 能直接执行 SQL——不，它本质上是告诉查询构建器“这段字符串我信，别转义”，它自身并不执行任何东西。错误用法：把整条 SQL 包进 DB::raw() 然后试图运行，结果只会生成一个毫无意义的 Raw 实例，代码静悄悄失败。

• 正确用法是在 select()、whereRaw()、orderByRaw() 中嵌入片段，比如：User::select('id', DB::raw('DATE_FORMAT(created_at, "%Y-%m") as month'))->get()
• whereRaw() 里仍然需要手动传参数数组：->whereRaw('created_at > DATE_SUB(NOW(), INTERVAL ? DAY)', [7])
• 绝对不要在 whereRaw() 里拼接用户输入：->whereRaw("name = '{$name}'") 是严重的注入漏洞，基本等于把数据库密码贴到门口。
• 字段别名必须显式写出：DB::raw('COUNT(*) as total')，否则结果里找不到 total 这个键。

最后一点容易被忽略：所有原生查询都不自动参与 Eloquent 的延迟加载、批量优化或模型事件。事务需要显式用 DB::transaction() 包裹。混用 DB::select() 和 DB::statement() 时，如果没消费完结果集，后续查询还可能失败——细节见真章。