问题背景与风险
当开发者尝试将php变量（如$city或$findname）直接插入到sql查询字符串中时，如果处理不当，极易引发以下问题：
- SQL语法错误： 最常见的问题是字符串拼接逻辑错误，导致生成的SQL语句不符合MySQL语法，从而查询失败。例如，缺少引号、引号嵌套错误等。
- SQL注入漏洞： 这是最严重的安全风险。如果用户输入的数据未经适当处理就被直接拼接到SQL查询中，恶意用户可以注入SQL代码，从而绕过认证、窃取敏感数据甚至破坏数据库。
原始代码片段中，$show_details = $wpdb->get_results("SELECT * from directory WHERE city LIKE '".$city."' OR findname LIKE '".$findname."'"); 使用了字符串连接符.来拼接变量，这在PHP语法上是正确的。然而，如果变量本身包含特殊字符（如单引号），或者用户试图通过输入恶意字符串来修改查询逻辑，那么这种直接拼接方式仍然存在SQL注入的风险。
解决方案
为了安全且正确地将PHP变量嵌入到MySQL查询中，我们推荐以下两种方法：
方法一：使用预处理语句（推荐）
预处理语句是处理数据库查询的最佳实践，它将SQL逻辑与数据分离，从而有效防止SQL注入，并通常能提高查询性能。在WordPress环境中，$wpdb对象提供了prepare()方法来实现预处理。
工作原理：
立即学习“PHP免费学习笔记（深入）”；
- 准备阶段： 数据库服务器预编译SQL查询模板，其中参数位置用占位符（如%s, %d等）表示。
- 执行阶段： 将实际参数值绑定到占位符上，数据库服务器会安全地处理这些值，确保它们被视为数据而非可执行代码。
示例代码：
esc_like() 对LIKE模式中的特殊字符进行转义。
// - 如果需要模糊匹配，在转义后手动添加通配符 '%'。
$city_pattern = '%' . $wpdb->esc_like($city) . '%';
$findname_pattern = '%' . $wpdb->esc_like($findname) . '%';
// 2. 使用 $wpdb->prepare() 构建预处理语句
// - %s 用于字符串（string）
// - %d 用于整数（decimal）
// - %f 用于浮点数（float）
$sql = $wpdb->prepare(
"SELECT * FROM directory WHERE city LIKE %s OR findname LIKE %s",
$city_pattern,
$findname_pattern
);
// 3. 执行查询
$show_details = $wpdb->get_results($sql);
// 4. 处理查询结果
if ($show_details) {
foreach ($show_details as $v) {
echo $v->name . "
";
}
} else {
echo "未找到匹配项。";
}
?>注意事项：
- $wpdb->prepare()会自动为占位符（%s, %d, %f）添加引号并进行适当的转义。
- 对于LIKE操作，如果需要模糊匹配，你需要在将变量传递给prepare之前手动添加通配符（%或_），并且使用$wpdb->esc_like()来转义变量中可能存在的%或_，防止它们被误认为是通配符。
方法二：正确进行字符串拼接与转义（替代方案，需谨慎）
如果由于特定原因无法使用预处理语句（尽管不推荐），那么必须确保在拼接字符串时进行严格的数据转义。
工作原理： 在将变量拼接到SQL查询之前，使用数据库驱动提供的转义函数对变量中的特殊字符进行转义，使其失去特殊含义，被视为普通数据。
示例代码：
esc_like()。
// - 对于其他字符串条件（如 =），可以使用 $wpdb->_real_escape() 或 $wpdb->escape()。
// - 如果需要模糊匹配，在转义后手动添加通配符。
$escaped_city = '%' . $wpdb->esc_like($city) . '%';
$escaped_findname = '%' . $wpdb->esc_like($findname) . '%';
// 2. 正确拼接SQL字符串
// - 使用PHP的字符串连接符 '.'
// - 确保为字符串值加上单引号
$sql = "SELECT * FROM directory WHERE city LIKE '" . $escaped_city . "' OR findname LIKE '" . $escaped_findname . "'";
// 3. 执行查询
$show_details = $wpdb->get_results($sql);
// 4. 处理查询结果
if ($show_details) {
foreach ($show_details as $v) {
echo $v->name . "
";
}
} else {
echo "未找到匹配项。";
}
?>注意事项：
-
转义函数选择：
- $wpdb->esc_like($string)：专门用于转义LIKE子句中的字符串，它会转义%、_和\字符。
- $wpdb->_real_escape($string) (或 $wpdb->escape($string)): 用于转义普通SQL字符串中的特殊字符（如单引号、双引号、反斜杠等），防止SQL注入。在WordPress中，_real_escape通常是mysqli_real_escape_string或mysql_real_escape_string的封装。
- 手动添加引号： 即使使用了转义函数，对于字符串类型的SQL值，你仍然需要在拼接时手动添加单引号（'）。
- 这种方法相比预处理语句更容易出错，强烈建议优先使用预处理语句。
总结
在MySQL查询中处理PHP变量时，核心原则是绝不直接信任和拼接用户输入。
- 最佳实践： 始终优先使用预处理语句（如WordPress的$wpdb->prepare()或PDO/MySQLi的预处理），它能提供最强的安全性、更好的性能和更清晰的代码结构。
- 替代方案： 如果必须进行字符串拼接，请务必使用数据库驱动提供的转义函数对所有用户输入进行严格转义，并手动为字符串值添加引号。
通过遵循这些指南，您可以有效避免SQL语法错误，并保护您的应用程序免受SQL注入攻击，从而构建更健壮、更安全的数据库交互功能。
