查询构建器中如果需要使用mysql函数，如何防止注入

原生Sql:   select * from product where DATE_FORMAT(addtime,'%Y%m')=$month

$month是get过来的，用户选择的月份

DB::table('product')->whereRaw("DATE_FORMAT(bc_m_caozuo.opdate,'%Y%m')='$month'")->get()

这里直接用->where  就执行不了Date_FORMAT()函数了

但这样$month应该是没有预处理的，如何防止sql注入呢，需要另外过滤吗？

是不是还有别的写法，请指教，谢谢！