Laravel 10中DB::raw()的SQL注入风险及参数绑定问题

问题1：原代码是否存在SQL注入风险？ #

存在明确的SQL注入风险。原代码直接将未经过滤的$location变量拼接进DB::raw()的SQL字符串中：

$city = City::find(1);
$city->location = DB::raw('geomfromtext(\'point(' . $location . ')\')');
$city->save();

若$location是用户可控的输入（比如表单提交的坐标值），攻击者可构造恶意内容破坏SQL语句结构。例如输入'); DROP TABLE city; --，最终生成的SQL会执行删除表的恶意操作，完全绕过Laravel查询构建器的安全防护。

问题2：如何在DB::raw()中安全绑定变量？ #

错误尝试原因 #

你之前的尝试失败，是因为DB::raw("(GEOMFROMTEXT('POINT(?)'))")里的?被包裹在单引号字符串内部，Laravel的参数绑定机制无法识别这种嵌套在字符串中的占位符，导致参数数量匹配错误（报错SQLSTATE[HY093]: Invalid parameter number）。

正确解决方案 #

以下两种方式均可实现安全的参数绑定：

方案1：将完整POINT表达式作为参数绑定

把POINT($location)整体作为参数，传递给DB::raw()的第二个参数（绑定值数组），避免直接拼接变量：

$location = '54.8765696 -2.9261824';
DB::connection('datadb')
    ->table('city')
    ->where('id', $profile->id)
    ->update([
        'location' => DB::raw('GEOMFROMTEXT(?)', ["POINT($location)"])
    ]);

方案2：拆分坐标值分别绑定（更安全）

若能将$location拆分为纬度和经度两个独立变量，分别绑定占位符，可进一步降低注入风险，避免用户输入包含特殊字符的坐标：

// 拆分坐标字符串为纬度和经度
list($latitude, $longitude) = explode(' ', $location);

DB::connection('datadb')
    ->table('city')
    ->where('id', $profile->id)
    ->update([
        'location' => DB::raw('GEOMFROMTEXT(POINT(?, ?))', [$latitude, $longitude])
    ]);

额外优化方案：使用Laravel原生地理位置字段

如果你的数据库支持地理位置类型（如MySQL 5.7+的point字段、PostGIS），可直接通过Eloquent模型赋值坐标数组，无需手动调用GEOMFROMTEXT：

// 假设City模型的location字段为point类型
$city = City::find($profile->id);
$city->location = [$latitude, $longitude];
$city->save();

内容的提问来源于stack exchange，提问作者Johnson