Laravel中如何绑定SQL查询参数？自定义函数查询参数绑定问题

架构老林

2026-8-19

解决方案

你当前代码的核心问题是直接通过字符串拼接参数，既存在SQL注入风险，又会因$query->id为空/未定义导致查询失效。Laravel的DB::select支持安全的参数绑定，同时能规避变量异常带来的语法问题，具体实现如下：

1. 用参数绑定替代字符串拼接

推荐两种绑定方式，按需选择：

方式一：问号占位符绑定

$parameters = DB::select(
    "SELECT GetFlowPropertyValue(flow.id, 'PCommonLineDataNumber') subscriberNumber, 
     (SELECT Id FROM ConfigurationItem WHERE FlowId = flow.id ORDER BY Id DESC Limit 1) ConfigurationItemId, 
     GetObjectTypeRelationParentObjectValue(6, 1, flow.id) CustomerId, 
     GetFlowPropertyValue(flow.id, 'MainOfferingName') MainOfferingName, 
     GetFlowPropertyValue(flow.Id, 'CampaignName') CampaignName 
     FROM akislar flow 
     WHERE id = ?",
    [$query->id]
);

方式二：命名占位符绑定（可读性更强）

$parameters = DB::select(
    "SELECT GetFlowPropertyValue(flow.id, 'PCommonLineDataNumber') subscriberNumber, 
     (SELECT Id FROM ConfigurationItem WHERE FlowId = flow.id ORDER BY Id DESC Limit 1) ConfigurationItemId, 
     GetObjectTypeRelationParentObjectValue(6, 1, flow.id) CustomerId, 
     GetFlowPropertyValue(flow.id, 'MainOfferingName') MainOfferingName, 
     GetFlowPropertyValue(flow.Id, 'CampaignName') CampaignName 
     FROM akislar flow 
     WHERE id = :flow_id",
    ['flow_id' => $query->id]
);

2. 处理`$query->id`为空的情况

在foreach循环中先校验变量有效性，避免执行无效查询：

foreach ($yourTargetCollection as $query) {
    // 跳过id为空或未定义的循环项
    if (!isset($query->id) || empty($query->id)) {
        continue;
    }
    // 执行上述参数绑定后的查询代码
}