Laravel 8中使用DB::raw运行数据库存储的带变量动态SQL查询失败求助

问题根源 #

你当前的代码无法获取数据，核心原因是：

• 从数据库读取的SQL字符串中的$start_date等是静态文本，并非PHP变量。当你直接用DB::raw("$query")执行时，PHP不会自动将这些占位符替换成请求中的实际参数，最终执行的SQL是带着'$start_date'这类字符串值，而非你传入的日期或组织ID，自然查不到匹配数据。
• 另外，直接拼接参数到SQL字符串存在严重的SQL注入风险，这是必须避免的写法。

正确解决方案：使用参数绑定 #

Laravel的查询构建器原生支持参数绑定，既能安全替换占位符，又能避免SQL注入。你需要先调整数据库中存储的SQL格式，再修改执行逻辑：

步骤1：修改数据库中的SQL占位符

将SQL中的变量占位符改为匿名占位符?或命名占位符（推荐）：

• 匿名占位符格式：

SELECT * FROM report WHERE date BETWEEN ? AND ? AND org = ?

• 命名占位符格式（可读性更强）：

SELECT * FROM report WHERE date BETWEEN :start_date AND :end_date AND org = :org

步骤2：修改runDb方法代码

根据你选择的占位符类型，使用对应的参数绑定方式：

方式1：匿名占位符

public function runDb(Request $request)
{
    $startDate = $request->start_date;
    $endDate = $request->end_date;
    $org = $request->org;
    $rawQuery = $this->data();

    // 按占位符顺序传入参数数组
    $result = DB::select($rawQuery, [$startDate, $endDate, $org]);

    return $result;
}

方式2：命名占位符

public function runDb(Request $request)
{
    $params = [
        'start_date' => $request->start_date,
        'end_date' => $request->end_date,
        'org' => $request->org
    ];
    $rawQuery = $this->data();

    // 传入键名与占位符匹配的关联数组
    $result = DB::select($rawQuery, $params);

    return $result;
}

关键注意事项 #

• 确保数据库中SQL的占位符数量、顺序（匿名占位符）或名称（命名占位符）与绑定的参数完全匹配。
• 永远不要手动将参数拼接进SQL字符串，参数绑定是Laravel官方推荐的安全执行原生SQL的方式。

内容的提问来源于stack exchange，提问作者Hafid Maulana