本文详解 WordPress 插件开发中通过 $wpdb 安全执行数据库 INSERT 和 UPDATE 操作的常见错误与最佳实践，重点纠正 prepare() 误用导致查询失效的问题，并提供防 SQL 注入、事务安全、错误处理的完整示例。
本文详解 wordpress 插件开发中通过 `$wpdb` 安全执行数据库 insert 和 update 操作的常见错误与最佳实践，重点纠正 `prepare()` 误用导致查询失效的问题，并提供防 sql 注入、事务安全、错误处理的完整示例。
在 WordPress 自定义插件中使用 $wpdb 进行数据库操作时，一个高频陷阱是混淆了 prepare() 与实际执行方法的职责：$wpdb->prepare() 仅返回预处理后的 SQL 字符串，不会自动执行查询；若未将其结果传递给 query()、update() 或 insert() 等执行方法，则数据库操作将完全静默失败——这正是原代码中 UPDATE 不生效的根本原因。
✅ 正确写法：分离「准备」与「执行」
以下为重构后的安全、健壮实现（已修复原始问题，并增强鲁棒性）：
function main() {
// 1. 验证请求来源与必要参数（建议添加 nonce 验证）
if (!isset($_REQUEST['task_current_time'], $_REQUEST['task_current_title'])) {
error_log('Missing required parameters in main()');
return;
}
global $wpdb;
$table_name = $this->tablenamev2; // 确保已定义且已全局化
$taskTime = sanitize_text_field($_REQUEST['task_current_time']);
$taskTitle = sanitize_text_field($_REQUEST['task_current_title']);
// 2. 安全检查：是否存在同名任务（使用 prepare + get_var 避免全表扫描）
$exists = $wpdb->get_var(
$wpdb->prepare("SELECT COUNT(*) FROM {$table_name} WHERE task_current_title = %s", $taskTitle)
);
if ($exists > 0) {
// 3. 更新现有记录：使用 update() 方法（自动 prepare + execute，更安全）
$result = $wpdb->update(
$table_name,
['task_current_time' => $taskTime], // data array
['task_current_title' => $taskTitle], // where condition
['%s'], // format for data
['%s'] // format for where
);
if (false === $result) {
error_log("Update failed for title '{$taskTitle}': " . $wpdb->last_error);
} else {
error_log("Updated existing record: {$taskTitle}");
}
} else {
// 4. 插入新记录：使用 insert() 方法（同样内置 prepare）
$result = $wpdb->insert(
$table_name,
[
'task_current_time' => $taskTime,
'task_current_title' => $taskTitle
],
['%s', '%s'] // 对应字段格式
);
if (false === $result) {
error_log("Insert failed: " . $wpdb->last_error);
} else {
error_log("Inserted new record: {$taskTitle}");
}
}
}⚠️ 关键注意事项
- 绝不直接拼接变量到 SQL：原始代码中 '... = '$taskTitle'' 存在严重 SQL 注入风险，必须使用 %s/%d 占位符配合 prepare() 或更高层的 insert()/update()。
- prepare() 是“生成器”，不是“执行器”：它返回字符串，需显式调用 query()、get_results() 等执行；而 insert()/update() 内部已封装该流程，推荐优先使用。
- 始终验证与清理输入：使用 sanitize_text_field()、intval() 等函数过滤用户输入。
- 启用错误日志：开发阶段开启 WP_DEBUG_LOG，便于捕获 $wpdb->last_error。
- 避免 die() 在核心逻辑中：它会中断整个请求流，应改用 wp_die() 或返回状态码。
✅ 总结
修复 $wpdb->prepare() 误用只是起点；真正的专业实践在于：用高阶方法（insert/update）替代裸 SQL + query，结合数据校验、错误处理与安全占位符。这样既杜绝 SQL 注入，又提升代码可维护性与 WordPress 兼容性。
