引言：WordPress短代码的常见陷阱
WordPress短代码（Shortcode）是扩展网站功能、在内容中嵌入动态元素的强大工具。然而，开发者在创建自定义短代码时，常会遇到一个令人困惑的问题：当包含短代码的文章或页面在编辑器中保存时，可能会收到“无效JSON响应”（Invalid JSON Response）的错误提示。这通常不是服务器配置问题，而是短代码函数内部处理输出和数据库交互方式不当所致。
问题剖析：为什么会出现“无效JSON响应”？
“无效JSON响应”错误通常发生在WordPress编辑器（无论是古腾堡块编辑器还是经典编辑器）通过AJAX请求保存文章内容时。当短代码函数直接将内容输出（echo）到浏览器，而不是将其作为字符串返回时，就会破坏WordPress期望的JSON响应结构，从而导致错误。
短代码的预期行为 WordPress短代码函数的设计原则是：它应该处理逻辑，并最终返回一个字符串（通常是HTML内容），而不是直接将其打印（echo）到浏览器。WordPress会捕获这个返回的字符串，并将其插入到文章内容的相应位置。
AJAX上下文的影响 当您在WordPress编辑器中点击“更新”或“发布”时，WordPress会发送一个AJAX请求到服务器来保存数据。服务器的响应需要是格式良好的JSON数据，其中包含保存操作的结果。如果您的短代码函数在处理过程中直接使用echo输出内容，这些内容会提前混入到HTTP响应流中，破坏了JSON数据的完整性，导致WordPress客户端无法正确解析响应，从而报告“无效JSON响应”。
exit;语句的危害 在短代码函数中使用exit;或die;语句会立即终止脚本的执行。这不仅会阻止短代码函数返回预期的内容，还会导致WordPress无法完成其正常的AJAX响应流程，同样会引发“无效JSON响应”或其他不可预测的行为。
安全漏洞警示：SQL注入
除了输出管理不当，原始短代码示例中还存在一个严重的安全漏洞：SQL注入。通过直接将用户输入（如$_POST['filter']）拼接到SQL查询字符串中，攻击者可以构造恶意输入，从而修改、删除数据库数据，甚至获取敏感信息。
例如，如果$_POST['filter']的值是' OR 1=1 --，原始查询会变成：
SELECT id, column1, column2, column3 FROM
WordPress短代码开发最佳实践
为了解决上述问题并确保短代码的健壮性和安全性，请遵循以下最佳实践：
一、正确管理短代码输出：使用输出缓冲
这是解决“无效JSON响应”问题的核心。使用PHP的输出缓冲（Output Buffering）机制，您可以将所有原本会直接输出到浏览器的内容捕获起来，然后一次性作为字符串返回。
- ob_start();: 开启输出缓冲。此后所有echo、print等输出函数的内容都不会立即发送到浏览器，而是被存储在一个内部缓冲区中。
- ob_get_clean();: 获取缓冲区中的所有内容，并清空缓冲区。捕获到的内容将作为函数的返回值。
示例：
二、安全地进行数据库查询：$wpdb->prepare()
$wpdb->prepare()是WordPress提供的用于安全地构建SQL查询的函数，它能够自动转义查询中的变量，有效防止SQL注入。
-
用法：$wpdb->prepare( $format, $arg1, $arg2, ... )
- $format: 包含占位符的SQL查询字符串。占位符包括%s（字符串）、%d（整数）、%f（浮点数）。
- $argN: 对应占位符的变量。
- SQL LIKE操作符中的通配符： 当在LIKE子句中使用%通配符时，如果通配符本身是动态的（例如，用户输入可能包含%），则需要使用$wpdb->esc_like()来转义用户输入的字符串，然后再拼接通配符。
示例：
prefix . 'my_custom_table'; // 推荐使用 $wpdb->prefix 获取表前缀
$search_term = 'example'; // 假设这是用户输入
// 安全地构建 LIKE 查询
$search_pattern = '%' . $wpdb->esc_like($search_term) . '%';
$query = $wpdb->prepare(
"SELECT id, title FROM %i WHERE title LIKE %s", // %i for table name identifier (though not officially supported by core prepare, it's a common convention for clarity; for actual use, ensure $table_name is hardcoded or whitelisted)
$table_name,
$search_pattern
);
$results = $wpdb->get_results($query);
?>注意：%i占位符在$wpdb->prepare中并非官方支持，通常表名应是硬编码或经过严格白名单验证的。在实际应用中，如果表名是固定的，可以直接嵌入字符串；如果表名来自变量，必须进行严格的验证或白名单处理，以防范SQL注入。对于用户输入，始终使用%s、%d、%f。
三、输入数据净化与验证
在处理任何用户输入（如$_POST、$_GET）时，务必进行净化（Sanitization）和验证（Validation）。WordPress提供了一系列函数来帮助您：
- sanitize_text_field(): 清理普通文本字段。
- sanitize_email(): 清理电子邮件地址。
- absint(): 确保值为非负整数。
- wp_kses_post(): 清理HTML内容，只保留允许的HTML标签。
四、错误处理与用户反馈
在短代码逻辑中，考虑数据为空或查询失败的情况。向用户提供友好的反馈，而不是显示空白或错误信息。
优化后的短代码示例
结合上述最佳实践，以下是针对原始问题的优化后短代码实现：
prepare() 和 $wpdb->esc_like()
$search_term = '%' . $wpdb->esc_like( $filter ) . '%';
$query = $wpdb->prepare(
"SELECT id, column1, column2, column3 FROM 
