如何安全绑定GET请求参数到Eloquent查询以防范SQL注入

问题根源 #

你的代码虽使用了Eloquent ORM，但传入带单引号的路由参数时触发SQL语法错误，核心原因是未对路由参数做类型校验与转换。即便Eloquent默认支持参数绑定，若参数类型与数据库字段类型不匹配（比如字段是int类型，却传入带单引号的字符串），仍会引发SQL语法错误，同时存在注入风险。

正确处理方式 #

1. 路由层面添加类型约束 #

直接在路由中限定searchRequestId为整数类型，Laravel会自动拦截非整数请求并返回404，从源头阻断非法输入：

Route::get('/data/{searchRequestId:int}', [RequestedDataController::class, 'GetData'])->name('data');

2. 控制器方法参数类型提示 #

在控制器方法中声明参数类型，Laravel会自动完成类型转换，即便路由未做约束，也能确保参数为整数：

public function GetData(Request $request, int $searchRequestId)
{
    $requestedData = RequestedData::
        where('SearchRequestId', $searchRequestId)
        ->orderByDesc('SearchRequestId')
        ->cursorPaginate(8);

    if($requestedData->isEmpty()){
        return abort(404, "page not found");
    }

    return view('RequestedData', ['requestedData' => $requestedData]);
}

3. 手动类型转换与参数验证 #

若需兼容字符串形式的数字等复杂场景，可手动转换类型并添加验证逻辑：

public function GetData(Request $request)
{
    // 验证参数格式合法性
    $validated = $request->validate([
        'searchRequestId' => 'required|integer',
    ]);

    // 强制转换为整数类型
    $searchId = (int)$validated['searchRequestId'];

    $requestedData = RequestedData::
        where('SearchRequestId', $searchId)
        ->orderByDesc('SearchRequestId')
        ->cursorPaginate(8);

    if($requestedData->isEmpty()){
        return abort(404, "page not found");
    }

    return view('RequestedData', ['requestedData' => $requestedData]);
}

关键说明 #

• 上述方法既解决了当前的SQL语法错误，也彻底防范了SQL注入——整数类型参数无法注入恶意SQL代码。
• 若SearchRequestId实际为字符串类型（如UUID），需改用字符串约束{searchRequestId:string}，同时依赖Eloquent默认的参数绑定机制避免直接拼接字符串。

内容的提问来源于stack exchange，提问作者Mart1250