WordPress 中 $wpdb->escape 和 esc_sql 的用法和区别

$wpdb->escape 和 esc_sql 都是 WordPress 中用于处理数据库查询中的数据的函数，但它们有不同的作用和用法。

用法

$wpdb->escape：

• $wpdb->escape 是 WordPress 的全局数据库类 $wpdb 中的一个方法，用于转义字符串，以防止 SQL 注入攻击。
• 它可以用于转义文本字符串，例如文本字段中的用户输入，以确保这些输入不会破坏 SQL 查询。
• 使用方法：$wpdb->escape( $string )，其中 $string 是要转义的字符串。
• 通常用于非查询数据的转义，如插入或更新数据库记录时的数据。

esc_sql：

• esc_sql 是 WordPress 提供的用于转义 SQL 查询中的字符串的函数。
• 它用于处理 SQL 查询的参数，以确保它们不会导致 SQL 注入攻击，并保持查询的完整性。
• 使用方法：esc_sql( $string )，其中 $string 是要转义的字符串。
• 通常用于在创建自定义 SQL 查询时转义查询中的字符串值。

区别

• 主要区别在于使用上的上下文和用途。$wpdb->escape 主要用于转义非查询数据，而 esc_sql 用于转义查询参数。
• $wpdb->escape 是 $wpdb 类的一个方法，而 esc_sql 是一个独立的函数。
• 通常情况下，如果您正在构建自定义 SQL 查询，应使用 esc_sql 来转义查询参数，以确保查询的安全性。如果您需要转义非查询数据，可以使用 $wpdb->escape 或其他相关的转义函数。

综而言之，这两个函数都是用于安全处理数据库操作的工具，但应根据具体的用途来选择使用哪个函数。在开发 WordPress 主题、插件或自定义功能时，请格外注意数据的安全性，并使用适当的转义函数来保护您的应用程序免受潜在的安全威胁。

注意事项

• $wpdb->escape：这是一个已经被弃用的函数，它曾经是 esc_sql 的别名。这个函数的目的是为了在查询中的字符串值提供转义。然而，它并不会转义未被引号包围的数值、字段名或SQL关键字。因此，如果你的值没有被引号包围，你的代码仍然可能会受到SQL注入攻击。
• esc_sql：它也只提供了在SQL查询中将被引号包围的值进行转义的功能。也就是说，它只为将在SQL中被引号包围的值（如 field = '{$escaped_value}'）提供转义。如果你的值没有被引号包围，你的代码仍然可能会受到SQL注入攻击。例如：ORDER BY {$escaped_value}，这是脆弱的，因为转义值在SQL查询中没有被引号包围。

总的来说，$wpdb->prepare() 通常是首选方法，因为它可以纠正一些常见的格式错误。而且，$wpdb->escape 已经被弃用，并且不再推荐使用。