MySQL查询中PHP变量的正确安全拼接指南

<?php
// 假设你已经在WordPress环境中，并已获取$wpdb对象
global $wpdb;

// 获取用户输入，始终假定用户输入是不可信的
$findname = isset($_POST['findname']) ? $_POST['findname'] : '';
$city = isset($_POST['city']) ? $_POST['city'] : '';

// 1. 为LIKE条件准备参数：
//    - 使用 $wpdb->esc_like() 对LIKE模式中的特殊字符进行转义。
//    - 如果需要模糊匹配，在转义后手动添加通配符 '%'。
$city_pattern = '%' . $wpdb->esc_like($city) . '%';
$findname_pattern = '%' . $wpdb->esc_like($findname) . '%';

// 2. 使用 $wpdb->prepare() 构建预处理语句
//    - %s 用于字符串（string）
//    - %d 用于整数（decimal）
//    - %f 用于浮点数（float）
$sql = $wpdb->prepare(
    "SELECT * FROM directory WHERE city LIKE %s OR findname LIKE %s",
    $city_pattern,
    $findname_pattern
);

// 3. 执行查询
$show_details = $wpdb->get_results($sql);

// 4. 处理查询结果
if ($show_details) {
    foreach ($show_details as $v) {
        echo $v->name . "<br />";
    }
} else {
    echo "未找到匹配项。";
}
?>

<?php
// 假设你已经在WordPress环境中，并已获取$wpdb对象
global $wpdb;

// 获取用户输入
$findname = isset($_POST['findname']) ? $_POST['findname'] : '';
$city = isset($_POST['city']) ? $_POST['city'] : '';

// 1. 转义变量：
//    - 对于LIKE条件，使用 $wpdb->esc_like()。
//    - 对于其他字符串条件（如 =），可以使用 $wpdb->_real_escape() 或 $wpdb->escape()。
//    - 如果需要模糊匹配，在转义后手动添加通配符。
$escaped_city = '%' . $wpdb->esc_like($city) . '%';
$escaped_findname = '%' . $wpdb->esc_like($findname) . '%';

// 2. 正确拼接SQL字符串
//    - 使用PHP的字符串连接符 '.'
//    - 确保为字符串值加上单引号
$sql = "SELECT * FROM directory WHERE city LIKE '" . $escaped_city . "' OR findname LIKE '" . $escaped_findname . "'";

// 3. 执行查询
$show_details = $wpdb->get_results($sql);

// 4. 处理查询结果
if ($show_details) {
    foreach ($show_details as $v) {
        echo $v->name . "<br />";
    }
} else {
    echo "未找到匹配项。";
}
?>