Symfony Doctrine orderBy参数绑定报T_IDENTIFIER错误排查

Doctrine ORM的参数绑定仅支持绑定查询中的值类型参数，不支持绑定字段名、表名、排序方向、SQL关键字这类语法结构部分。
你抛出的Error: Expected Doctrine\ORM\Query\Lexer::T_IDENTIFIER, got ':order'错误，是因为解析器处理orderBy子句时，要求该位置必须传入合法的实体字段标识符，传入参数占位符:order时解析器无法识别为字段名，无论使用命名参数还是数字占位符都会触发相同报错。
另外你代码中两处直接拼接变量到SQL语句的写法存在SQL注入风险：一处是循环内直接拼接$value到r.state = '$value'，另一处是你注释掉的直接拼接排序字段、排序方向的写法，都需要做安全处理。

• 排序字段、排序方向属于SQL结构部分，无法通过参数绑定传入，必须做严格白名单校验后再拼接到查询中，从根源避免SQL注入。
• WHERE条件中的state过滤值，改用标准参数绑定写法，禁止直接拼接变量到DQL语句。
• 多个orWhere条件建议通过expr()->orX()聚合，避免后续新增AND查询条件时出现逻辑优先级错误。

public function getRequestPaginator($offset = 0, RequestFilter $filter = null)
{
    if ($filter === null) {
        $filter = new RequestFilter();
    }
 
    $query = $this->createQueryBuilder('r');

    // 配置实体允许排序的字段白名单，替换为你Request实体实际可对外暴露排序的字段
    $allowedOrderFields = ['id', 'state', 'createdAt', 'updatedAt'];
    $orderField = $filter->getOrder();
    if (!in_array($orderField, $allowedOrderFields, true)) {
        // 非法排序字段默认兜底为id
        $orderField = 'id';
    }

    // 排序方向白名单校验
    $allowedOrderDirections = ['ASC', 'DESC'];
    $orderDirection = strtoupper($filter->getOrderDirection());
    if (!in_array($orderDirection, $allowedOrderDirections, true)) {
        // 非法排序方向默认兜底为倒序
        $orderDirection = 'DESC';
    }

    // 处理state过滤条件，使用参数绑定
    $stateCondition = $query->expr()->orX();
    foreach ($filter->getStates() as $index => $stateValue) {
        $paramKey = 'state_' . $index;
        $stateCondition->add($query->expr()->eq('r.state', ':' . $paramKey));
        $query->setParameter($paramKey, $stateValue);
    }
    if ($stateCondition->count() > 0) {
        $query->where($stateCondition);
    }

    $query = $query
        ->orderBy('r.' . $orderField, $orderDirection)
        ->setFirstResult($offset)
        ->setMaxResults($filter->getRequestsPerPage())
        ->getQuery();

    return new Paginator($query);
}

Doctrine DQL解析阶段会先识别所有SQL语法结构，再替换参数占位符为实际值，因此所有语法结构相关的部分都无法通过参数绑定动态传入，除了orderBy的字段和方向，groupBy字段、join的表名/关联名、where里的运算符等场景同样不能使用参数绑定，这类动态传入的内容必须做白名单校验。

内容的提问来源于stack exchange，提问作者Sreckcep