本文详解如何在 WordPress 主题中正确调用数据库查询逻辑，避免手动连接 MySQL 导致的执行中断、输出缓冲冲突及安全漏洞，并推荐使用内置全局对象 $wpdb 替代原生 mysqli。
本文详解如何在 wordpress 主题中正确调用数据库查询逻辑，避免手动连接 mysql 导致的执行中断、输出缓冲冲突及安全漏洞，并推荐使用内置全局对象 `$wpdb` 替代原生 mysqli。
在 WordPress 主题（如 page.php）中直接嵌入自定义 PHP 脚本时，若出现“仅当 echo 语句启用时脚本才执行”的异常现象，根本原因通常是 PHP 输出缓冲（Output Buffering）与 HTTP 头部发送冲突，而非逻辑本身失效。你当前代码中调用了 header('Location: ...')，而该函数要求在任何实际输出（包括空格、BOM、未捕获的错误、甚至 echo 前的换行）发送前执行；一旦 ob_start() 后未正确终止缓冲或存在隐式输出，header() 将失败并触发 PHP 警告（默认被静默忽略），导致重定向失效——此时看似“脚本不运行”，实为执行中断且无可见报错。
✅ 正确做法：使用 WordPress 原生 $wpdb 对象
WordPress 提供了全局 $wpdb 实例，它已预配置连接、自动转义、支持占位符参数化查询，且完全兼容主题/插件上下文。无需手动管理 MySQL 连接，也规避了 mysqli_real_escape_string() 等易出错的手动转义。
✅ 修正后的安全代码示例：
<?php
// 在 page.php 或 functions.php 中使用（确保在 <html> 标签前执行）
global $wpdb;
// 仅当满足条件时执行重定向逻辑（必须在任何 HTML 输出之前）
if (isset($_GET['uid']) && !isset($_GET['valid'])) {
$url_id = sanitize_text_field($_GET['uid']); // 强烈建议先过滤输入
// 使用 $wpdb->get_row()（更高效，因只需判断是否存在） + 预处理语句防注入
$query = $wpdb->prepare("SELECT ID FROM {$wpdb->prefix}tablename WHERE id = %s", $url_id);
$result = $wpdb->get_row($query);
$base_url = 'https://thisismywebsite.com/';
$redirect_url = $result
? add_query_arg(['valid' => '1', 'uid' => $url_id], $base_url)
: add_query_arg(['valid' => '0', 'uid' => $url_id], $base_url);
wp_redirect($redirect_url); // 推荐替代 header()，自动处理缓冲和状态码
exit; // ⚠️ 必须调用 exit 或 die，防止后续内容输出
}
?>? 关键注意事项：
-
执行时机至关重要：重定向逻辑必须放在 WordPress 主循环（the_content() 等模板标签）之前，否则页面已开始输出，wp_redirect() 将失效。推荐将此逻辑移至 functions.php 中的 template_redirect 钩子：
add_action('template_redirect', function() { if (isset($_GET['uid']) && !isset($_GET['valid'])) { // ... 同上逻辑 } }); 永远不要拼接 SQL 字符串：你原代码中 $urlId . "'" 极易引发 SQL 注入。$wpdb->prepare() 是唯一安全方式。
表名前缀兼容性：使用 {$wpdb->prefix}tablename 替代硬编码表名，适配多站点及自定义前缀。
避免 ob_start() / ob_end_flush()：WordPress 已管理输出缓冲；手动操作反而增加风险。wp_redirect() 内部已妥善处理。
调试技巧：若仍失效，临时添加 error_log(print_r($_GET, true)); 到 functions.php 并检查 PHP 错误日志，确认是否因 404/重写规则导致 $_GET 为空。
遵循以上实践，你的重定向逻辑将稳定运行，且符合 WordPress 最佳安全规范。
