WordPress 中使用 $wpdb 执行插入与更新操作的正确方法-php教程-PHP中文网

WordPress 中使用 $wpdb 执行插入与更新操作的正确方法

本文详解 WordPress 插件开发中通过 $wpdb 安全执行数据库 INSERT 和 UPDATE 操作的常见错误与最佳实践，重点纠正 prepare() 误用导致查询失效的问题，并提供防 SQL 注入、事务安全、错误处理的完整示例。

本文详解 wordpress 插件开发中通过 `$wpdb` 安全执行数据库 insert 和 update 操作的常见错误与最佳实践，重点纠正 `prepare()` 误用导致查询失效的问题，并提供防 sql 注入、事务安全、错误处理的完整示例。

在 WordPress 自定义插件中使用 $wpdb 进行数据库操作时，一个高频陷阱是混淆了 prepare() 与实际执行方法的职责：$wpdb->prepare() 仅返回预处理后的 SQL 字符串，不会自动执行查询；若未将其结果传递给 query()、update() 或 insert() 等执行方法，则数据库操作将完全静默失败——这正是原代码中 UPDATE 不生效的根本原因。

✅ 正确写法：分离「准备」与「执行」

以下为重构后的安全、健壮实现（已修复原始问题，并增强鲁棒性）：

Cn Password Generator

安全的随机密码生成器。支持自定义长度、字符类型（大写/小写字母、数字、特殊符号），排除相似字符，批量生成。纯 Python 标准库，无需 API 密钥。

下载

function main() {
    // 1. 验证请求来源与必要参数（建议添加 nonce 验证）
    if (!isset($_REQUEST['task_current_time'], $_REQUEST['task_current_title'])) {
        error_log('Missing required parameters in main()');
        return;
    }

    global $wpdb;
    $table_name = $this->tablenamev2; // 确保已定义且已全局化

    $taskTime  = sanitize_text_field($_REQUEST['task_current_time']);
    $taskTitle = sanitize_text_field($_REQUEST['task_current_title']);

    // 2. 安全检查：是否存在同名任务（使用 prepare + get_var 避免全表扫描）
    $exists = $wpdb->get_var(
        $wpdb->prepare("SELECT COUNT(*) FROM {$table_name} WHERE task_current_title = %s", $taskTitle)
    );

    if ($exists > 0) {
        // 3. 更新现有记录：使用 update() 方法（自动 prepare + execute，更安全）
        $result = $wpdb->update(
            $table_name,
            ['task_current_time' => $taskTime], // data array
            ['task_current_title' => $taskTitle], // where condition
            ['%s'], // format for data
            ['%s']  // format for where
        );

        if (false === $result) {
            error_log("Update failed for title '{$taskTitle}': " . $wpdb->last_error);
        } else {
            error_log("Updated existing record: {$taskTitle}");
        }
    } else {
        // 4. 插入新记录：使用 insert() 方法（同样内置 prepare）
        $result = $wpdb->insert(
            $table_name,
            [
                'task_current_time' => $taskTime,
                'task_current_title' => $taskTitle
            ],
            ['%s', '%s'] // 对应字段格式
        );

        if (false === $result) {
            error_log("Insert failed: " . $wpdb->last_error);
        } else {
            error_log("Inserted new record: {$taskTitle}");
        }
    }
}

⚠️ 关键注意事项

绝不直接拼接变量到 SQL：原始代码中 '... = '$taskTitle'' 存在严重 SQL 注入风险，必须使用 %s/%d 占位符配合 prepare() 或更高层的 insert()/update()。
prepare() 是“生成器”，不是“执行器”：它返回字符串，需显式调用 query()、get_results() 等执行；而 insert()/update() 内部已封装该流程，推荐优先使用。
始终验证与清理输入：使用 sanitize_text_field()、intval() 等函数过滤用户输入。
启用错误日志：开发阶段开启 WP_DEBUG_LOG，便于捕获 $wpdb->last_error。
避免 die() 在核心逻辑中：它会中断整个请求流，应改用 wp_die() 或返回状态码。