WordPress自定义Learndash课程搜索查询词出现随机字符串问题

问题原因 #

你看到的带大括号的随机字符串是WordPress数据库安全机制生成的参数占位符标记，由$wpdb->prepare()函数自动生成，用于防止SQL注入。出现这个异常的核心是你没有正确完成prepare的参数绑定流程：

• 要么是构建SQL时用了占位符，但调用prepare时没传入对应的搜索词参数；
• 要么是重复调用prepare，把已经生成占位符的SQL再次传入，导致占位符被当成普通字符串保留下来。

解决方案 #

1. 正确使用$wpdb->prepare() #

WordPress要求所有动态生成的SQL必须通过$wpdb->prepare()处理，正确流程如下：

• 用%s（字符串占位符）代替SQL中的搜索词位置；
• 用$wpdb->esc_like()处理搜索词，转义LIKE语法中的通配符（%、_）；
• 把处理后的搜索词作为参数传给prepare。

示例代码：

// 获取搜索词并处理
$search_term = isset($_GET['course_search']) ? trim($_GET['course_search']) : '';
if (!empty($search_term)) {
    // 转义LIKE通配符，避免破坏查询语法
    $search_term = '%' . $wpdb->esc_like($search_term) . '%';
    // 构建带占位符的SQL，调用prepare绑定参数
    $sql = $wpdb->prepare(
        "SELECT p.ID, p.post_title 
         FROM {$wpdb->prefix}posts p
         WHERE p.post_type = 'sfwd-courses' 
         AND p.post_status = 'publish'
         AND (p.post_title LIKE %s OR p.post_content LIKE %s)",
        $search_term, $search_term // 对应两个%s占位符
    );
    // 执行查询
    $courses = $wpdb->get_results($sql);
}

2. 排查重复调用prepare的情况 #

检查你的自定义模板代码，确保不会把已经经过prepare处理的SQL再次传入$wpdb->prepare()。比如以下错误写法会导致占位符被保留：

// 错误：重复prepare
$temp_sql = $wpdb->prepare("SELECT * FROM wp_posts WHERE post_title LIKE %s", $search_term);
$final_sql = $wpdb->prepare($temp_sql); // 这里会把之前的占位符当成字符串处理

3. 结合Learndash标签筛选的注意事项 #

如果要同时处理标签筛选，确保标签ID的查询也使用%d占位符，示例：

$tag_id = isset($_GET['course_tag']) ? (int)$_GET['course_tag'] : 0;
if ($tag_id > 0) {
    $sql .= $wpdb->prepare(
        " INNER JOIN {$wpdb->prefix}term_relationships tr ON p.ID = tr.object_id
          WHERE tr.term_taxonomy_id = %d",
        $tag_id
    );
}

内容的提问来源于stack exchange，提问作者Alex Mehan