在 WordPress 中执行自定义 SQL 查询时，仅依赖 sanitize_text_field() 无法有效防止 SQL 注入；必须结合 $wpdb->prepare()、白名单校验及参数化处理，才能确保查询安全。
在 wordpress 中执行自定义 sql 查询时，仅依赖 `sanitize_text_field()` 无法有效防止 sql 注入；必须结合 `$wpdb->prepare()`、白名单校验及参数化处理，才能确保查询安全。
直接拼接 SQL 字符串（尤其是字段名、操作符和值）是高危行为。你当前代码中虽对 $filter['col_name'] 使用了 sanitize_text_field()，但该函数仅移除或编码特殊字符，并不阻止 SQL 关键字注入或绕过校验（例如传入 id OR 1=1 或反引号包裹的恶意字段名）。更严重的是，$filter['operator'] 和 $filter['value'] 完全未过滤——攻击者可轻易注入 = '1' OR '1'='1' 或 IN (1,2) -- 等恶意片段，导致全表泄露或数据篡改。
✅ 正确做法：三重防护机制
-
字段名白名单校验（强制）
数据库字段名不能动态拼接，必须来自预定义安全列表：$allowed_columns = ['ID', 'post_title', 'post_status', 'post_date', 'post_author']; $col_name = strtoupper($filter['col_name']); // 统一大小写便于匹配 if (!in_array($col_name, $allowed_columns, true)) { throw new InvalidArgumentException('Invalid column name'); } -
操作符严格限制（枚举）
仅允许安全的操作符，杜绝 UNION, OR, ; 等风险操作：$allowed_operators = ['=', '!=', '<>', '>', '<', '>=', '<=', 'LIKE', 'IN', 'NOT IN']; $operator = strtoupper(trim($filter['operator'])); if (!in_array($operator, $allowed_operators, true)) { throw new InvalidArgumentException('Invalid operator'); } -
值参数化处理（核心）
使用 $wpdb->prepare() 进行占位符绑定，绝不可字符串拼接值：global $wpdb; $query = $wpdb->prepare("SELECT * FROM {$wpdb->posts} WHERE 1=1"); $params = []; foreach ($filters as $filter) { $filter = (array) $filter; // ✅ 白名单校验字段 & 操作符（见上） $col_name = /* 已校验的列名 */; $operator = /* 已校验的操作符 */; if (in_array($operator, ['IN', 'NOT IN'], true)) { // 处理数组值：生成占位符并校验每个元素 $values = array_map('intval', (array) $filter['value']); // 示例：仅整型 ID $placeholders = implode(',', array_fill(0, count($values), '%d')); $query .= $wpdb->prepare(" AND {$col_name} {$operator} ({$placeholders})", $values); } else { // 单值：使用 %s（字符串）、%d（整数）、%f（浮点）等类型化占位符 $query .= $wpdb->prepare(" AND {$col_name} {$operator} %s", $filter['value']); } } $results = $wpdb->get_results($query);
⚠️ 注意事项：
- sanitize_text_field() 适用于输出到 HTML 的文本内容，不适用于 SQL 上下文；SQL 安全必须依赖参数化查询或白名单。
- 避免使用第三方 Composer 包（如 wp-database-model）替代核心安全机制——WordPress 官方 $wpdb 已提供成熟、审计过的安全接口，引入外部包反而增加维护负担与潜在漏洞面。
- 若查询逻辑复杂，优先考虑 WP_Query 或 get_posts()（支持 meta_query、tax_query 等扩展），它们内置 SQL 转义与权限校验，比手写 SQL 更安全可靠。
总结：安全的自定义查询 = 白名单字段 + 枚举操作符 + $wpdb->prepare() 参数化。任何绕过这三者的“快速拼接”方案，都等于在生产环境敞开数据库大门。
