本文详解在 WordPress 中通过 $wpdb 执行自定义 SQL 查询时，如何安全、正确地将 PHP 变量（如 get_the_title() 返回值）嵌入 WHERE 条件，避免语法错误与 SQL 注入风险。
本文详解在 wordpress 中通过 `$wpdb` 执行自定义 sql 查询时，如何安全、正确地将 php 变量（如 `get_the_title()` 返回值）嵌入 where 条件，避免语法错误与 sql 注入风险。
在 WordPress 开发中，开发者常借助 $wpdb 类执行原生 SQL 查询以满足复杂数据检索需求。但一个常见误区是：错误拼接字符串变量导致 SQL 语法失效或安全漏洞。例如以下代码：
$title = get_the_title(); // 如返回 "Perry"
global $wpdb;
$query = "SELECT * FROM demos_13_amelia_users
WHERE `status` = 'visible'
AND `type` = 'provider'
AND `firstName` = '.$title.'";
$employes = $wpdb->get_results($query);
该写法存在两个关键问题：
✅ 语法错误：在双引号字符串中混用 PHP 字符串连接符 .，实际生成的 SQL 为 ... firstName = '.Perry.'，MySQL 将其视为非法标识符而非字符串字面量；
❌ 严重安全隐患：直接拼接未转义的用户数据（如文章标题），极易引发 SQL 注入攻击。
✅ 正确做法一：双引号内直接插值（仅限可信、无单引号内容）
若 $title 纯净且不含单引号、反斜杠等特殊字符（不推荐用于用户输入），可使用双引号变量解析：
$query = "SELECT * FROM demos_13_amelia_users
WHERE `status` = 'visible'
AND `type` = 'provider'
AND `firstName` = '$title'";
$employes = $wpdb->get_results($query);
✅ 正确做法二：显式字符串拼接（更清晰，兼容性好）
使用 . 连接时，必须严格闭合引号：
$query = "SELECT * FROM demos_13_amelia_users
WHERE `status` = 'visible'
AND `type` = 'provider'
AND `firstName` = '" . esc_sql($title) . "'";
$employes = $wpdb->get_results($query);
⚠️ 注意：esc_sql() 是 WordPress 提供的基础转义函数，适用于简单字符串，但不能替代参数化查询。
✅ 推荐做法：使用 $wpdb->prepare()（最安全、最标准）
WordPress 官方强烈推荐使用预处理语句防止注入，自动处理转义与类型校验：
global $wpdb;
$title = get_the_title();
$query = $wpdb->prepare(
"SELECT * FROM demos_13_amelia_users
WHERE `status` = %s
AND `type` = %s
AND `firstName` = %s",
'visible',
'provider',
$title
);
$employes = $wpdb->get_results($query);
其中 %s 表示字符串占位符，$wpdb->prepare() 会自动调用 esc_sql() 并加引号，确保输出为 'visible', 'provider', 'Perry' 等安全格式。
? 额外建议
- 永远避免在 SQL 中拼接未经验证的用户输入（如 $_GET, $_POST, get_the_title() 等）；
- 若 $title 可能含空格、撇号（如 O'Connor）或 HTML 实体，$wpdb->prepare() 是唯一可靠方案；
- 对于大量数据查询，考虑添加索引：ALTER TABLE demos_13_amelia_users ADD INDEX idx_status_type_fname (status,type,firstName);
掌握这三种方式的区别与适用场景，不仅能修复“变量不生效”的表层问题，更能构建健壮、安全的 WordPress 数据访问层。
