WordPress 中使用变量构建 SQL 查询的正确方法-php教程-PHP中文网

WordPress 中使用变量构建 SQL 查询的正确方法

在 WordPress 中通过 $wpdb 执行自定义 SQL 查询时，若将 PHP 变量（如 $title）直接拼接到双引号字符串中，必须避免错误的点号（.）连接语法，否则会导致 SQL 语法错误或查询失败。

在 wordpress 中通过 $wpdb 执行自定义 sql 查询时，若将 php 变量（如 `$title`）直接拼接到双引号字符串中，必须避免错误的点号（`.`）连接语法，否则会导致 sql 语法错误或查询失败。

在 WordPress 开发中，常需借助 $wpdb 类执行自定义数据库查询。但新手容易在字符串拼接时犯一个典型错误：在双引号字符串内错误混用点号（.）进行变量连接。例如以下写法是错误的：

$title = get_the_title();
$query = "SELECT * FROM demos_13_amelia_users WHERE `status` = 'visible' AND `type` = 'provider' AND `firstName` = '.$title.'";

该语句实际生成的 SQL 为（假设 $title = 'Perry'）：

SELECT * FROM demos_13_amelia_users WHERE `status` = 'visible' AND `type` = 'provider' AND `firstName` = '.Perry.'

这不仅语法非法（.Perry. 不是有效字符串字面量），更存在严重的 SQL 注入风险。

✅ 正确做法有两种（推荐后者）：

unity3d游戏开发之相机切换中文WORD版

本文档主要讲述的是unity3d游戏开发之相机切换；希望对大家会有帮助；感兴趣的朋友可以过来看看

下载

方式一：双引号内直接嵌入变量（仅限简单变量）
PHP 在双引号字符串中会自动解析变量，无需连接符：

$query = "SELECT * FROM demos_13_amelia_users 
          WHERE `status` = 'visible' 
            AND `type` = 'provider' 
            AND `firstName` = '$title'";

方式二：使用点号拼接（更清晰、支持复杂表达式）
显式闭合引号并拼接，语义明确且便于调试：

$query = "SELECT * FROM demos_13_amelia_users 
          WHERE `status` = 'visible' 
            AND `type` = 'provider' 
            AND `firstName` = '" . $title . "'";

⚠️ 重要安全提醒：以上两种方式均未做转义处理，若 $title 来自用户输入（如 $_GET 或表单），将导致严重 SQL 注入漏洞！强烈推荐使用 $wpdb->prepare() 进行参数化查询：

$title = get_the_title();
$query = $wpdb->prepare(
    "SELECT * FROM demos_13_amelia_users 
     WHERE `status` = %s 
       AND `type` = %s 
       AND `firstName` = %s",
    'visible',
    'provider',
    $title
);
$employees = $wpdb->get_results($query);

%s 占位符会自动对 $title 进行 esc_sql() 转义，彻底规避注入风险，同时提升代码可维护性与健壮性。

? 总结：