ORM啊 直接写sql多累

不用的，php 官网推荐使用PDO模块，prepare sql, 然后 bind 数据类型，就很安全了。
文档链接： http://php.net/manual/en/book...

没必要，只要参数化，加上关键字过滤，你来什么都可以。