WordPress的：wpdb->插入VERSUS wpdb->準備（wpdb->查詢（「INSERT

Question

。更好地防止對SQL注入我試圖尋找這個問題了在那裏抄本/ API;！然而，似乎沒有證件 感謝

Answer 1

WordPress使用ezSQL查詢數據庫技術上講，它不是一個抽象層，但它確實帶走了一些樣板代碼，ezSQL有一個功能escape，所以我假設Wordpress在執行查詢之前總是調用escape函數，但要確定你必須看看源代碼

這是你如何逃避WordPress的字符串：
$safe_string = $wpdb->escape($unsafe_string);

Answer 2

這個問題是一個小老頭和食品可能已更新，因爲有人問。 wpdb->insert()和wpdb->prepare()都提供了與輸入數據的SQL轉義相同的安全級別。

codex states表示提供給插入方法的列和數據值應該是原始的，而不是SQL轉義的。

我也快速瀏覽了一下源碼來確認。插入方法的實現使用wpdb->prepare()。