Laravel Builder中如何绑定列？代码异常问题咨询

1. 为什么第一段代码返回异常结果？ #

你碰到的问题核心在于PDO参数绑定的设计逻辑——Laravel查询构建器底层依赖PDO处理参数绑定，而PDO的占位符（?或命名占位符）只能用来绑定查询的具体值，绝对不能用来绑定数据库标识符（比如列名、表名、函数名这类）。

当你执行这段代码时：

$orders = DB::table('orders')->selectRaw('?', ['id'])->get();

Laravel会把?替换成字符串常量'id'，实际执行的SQL是：

SELECT 'id' FROM orders

这里的'id'是一个固定字符串，不是你想要的列名，所以查询结果里每一行都会返回这个字符串，而PDO会把占位符?作为结果的键名，这就是你得到{"?": "id"}结构的原因。

而直接写selectRaw('id')时，Laravel会把id当作列名解析，执行的是你预期的SELECT id FROM orders，自然能得到正确结果。

2. 如何在Laravel Builder中动态指定列名？ #

既然参数绑定不能处理列名，想要动态设置列名，关键是先确保列名的合法性（避免SQL注入），再直接指定列名：

方法一：白名单验证（推荐） #

先定义允许查询的列名单，检查要查询的列是否在白名单内，彻底规避注入风险：

// 定义允许查询的列名白名单
$allowedColumns = ['id', 'name', 'total', 'created_at'];
// 假设$column是动态获取的（比如从请求参数来）
$column = 'id';

// 验证列名是否合法
if (!in_array($column, $allowedColumns)) {
    abort(400, '非法的列名');
}

// 执行查询
$orders = DB::table('orders')->select($column)->get();

方法二：使用DB::raw（需谨慎） #

如果你能确保列名是安全的（比如不是来自用户输入），也可以用DB::raw直接拼接：

$column = 'id';
$orders = DB::table('orders')->selectRaw(DB::raw($column))->get();

但这种方式如果列名来自不可信输入，会有SQL注入风险，所以一定要先做合法性验证。

内容的提问来源于stack exchange，提问作者John Kent