``` esc_sql( string|array?$data?) ``` [esc\_sql()](https://developer.wordpress.org/reference/functions/esc_sql/) 函數用于轉義字符串或者數組，但是一般還是建議使用 [wpdb::prepare()](https://developer.wordpress.org/reference/classes/wpdb/prepare/)，因為后者更安全些。 ## 使用范圍 1. 在一些 IN 語句中 2. 字符串中包含‘%’百分號的查詢 3. 比如LIKE 語句 ## 使用注意 使用該函數的時候，變量在SQL代碼里面應該被單引號包括。如下 ``` <?php $name = esc_sql( $name ); $status = esc_sql( $status ); $wpdb->get_var( "SELECT something FROM table WHERE foo = '{$name}' and status = '{$status}'" ); //錯誤示范 //$wpdb->get_var( "SELECT something FROM table WHERE foo = {$name} and status = {$status}" ); ?> ``` ***** ``` wpdb::prepare( string?$query, array|mixed?$args?) ``` [wpdb::prepare()](https://developer.wordpress.org/reference/classes/wpdb/prepare/) 函數被用于安全的執行SQL查詢，類似于PHP里面的sprintf()輸出，變量在后，查詢代碼里面使用占位符。 ## 使用 可以在查詢字符串中使用三種占位符：％d（整數）％f（浮動）％s（字符串），按照實際情況使用。 ``` $wpdb->query( $wpdb->prepare( "SELECT id FROM wp_posts WHERE id > %d AND `post_status` = %s", $min_id, $status ) ); ``` ## 使用注意 1. 占位符在查詢里面不得使用任何符號包括，比如引號，括號等等 2. 查詢字符串里面確實包含【%】的話，比如【LIKE查詢】，改寫為【%%】 3. 查詢里面并不是所有都需要做占位符替換的，但是占位符和后置的變量數目必須一致 4. 后置變量可以是單獨的幾個，也可以用數組包圍起來，但是不能混用