Laravel 5.5中如何防护DB::statement()免受SQL注入？

这确实是个容易踩的坑——SQL参数绑定只支持值类型（比如WHERE条件里的数值、字符串），像数据库名、表名这类标识符根本没法用绑定，所以得换个思路来防注入。下面给你两个靠谱的解决方案，按安全优先级排序：

1. 优先使用白名单验证（最安全） #

如果用户创建的数据库名是你能预定义的范围，直接用白名单卡死是最稳妥的，完全杜绝注入风险：

// 预先定义允许创建的数据库名单
$allowedDbNames = ['mydbname', 'user_workspace', 'blog_storage'];
$requestedDbName = request()->input('db_name');

// 检查请求的数据库名是否在白名单内
if (!in_array($requestedDbName, $allowedDbNames)) {
    abort(403, '不允许创建该数据库');
}

// 用反引号包裹标识符，避免特殊字符引发语法错误
DB::statement("CREATE DATABASE `$requestedDbName`");

2. 自定义数据库名时：字符过滤+标识符转义 #

如果必须允许用户自定义数据库名，就得做两层防护：

第一步：清洗非法字符 #

先把数据库名里的危险字符过滤掉，只保留合法的字符（比如字母、数字、下划线、连字符）：

$rawDbName = request()->input('db_name');
// 过滤掉所有非允许的字符
$cleanedDbName = preg_replace('/[^a-zA-Z0-9_\-]/', '', $rawDbName);

// 额外限制长度（比如MySQL数据库名最多64字符）
if (strlen($cleanedDbName) > 64) {
    abort(400, '数据库名长度不能超过64字符');
}

第二步：用Laravel语法器转义标识符 #

不同数据库的标识符包裹规则不一样（MySQL用反引号，PostgreSQL用双引号），直接手动加符号容易出错。可以用Laravel内置的查询语法器来自动处理：

// 获取当前连接的查询语法器，自动转义标识符
$wrappedDbName = DB::connection()->getQueryGrammar()->wrap($cleanedDbName);

// 执行创建语句
DB::statement("CREATE DATABASE $wrappedDbName");

额外提醒 #

• 永远不要直接把用户输入的原始值拼进SQL语句里，必须经过清洗或验证
• 建议记录所有数据库创建操作，方便后续审计排查问题

内容的提问来源于stack exchange，提问作者manifestor