WordPress的：wpdb->插入VERSUS wpdb->准备（wpdb->查询（“INSERT

Question

。更好地防止对SQL注入我试图寻找这个问题了在那里抄本/ API;！然而，似乎没有证件 感谢

Answer 1

WordPress使用ezSQL查询数据库技术上讲，它不是一个抽象层，但它确实带走了一些样板代码，ezSQL有一个功能escape，所以我假设Wordpress在执行查询之前总是调用escape函数，但要确定你必须看看源代码

这是你如何逃避WordPress的字符串：
$safe_string = $wpdb->escape($unsafe_string);

Answer 2

这个问题是一个小老头和食品可能已更新，因为有人问。 wpdb->insert()和wpdb->prepare()都提供了与输入数据的SQL转义相同的安全级别。

codex states表示提供给插入方法的列和数据值应该是原始的，而不是SQL转义的。

我也快速浏览了一下源码来确认。插入方法的实现使用wpdb->prepare()。