为何sanitize_post_field()不被PHPCS接受？保存HTML至Post Meta疑问

问题根源 #

sanitize_post_field() 是专门为WordPress内置文章字段（如post_content、post_title）设计的处理函数，你传入自定义字段名template_content_html会触发PHPCS的编码规范检测——因为这个函数并不适用于自定义Post Meta字段，所以会被标记为不合规。

解决方案 #

根据你是否需要保留所有HTML，分两种情况处理：

1. 保留安全HTML（符合WordPress默认规则）

使用wp_kses_post()配合wp_unslash()，这是PHPCS认可的标准写法，同时会保留WordPress允许的所有HTML标签（和文章内容的过滤规则一致）：

$template_html = wp_kses_post( wp_unslash( $_POST['template_content_html'] ) );
update_post_meta( $post_id, 'template_content_html', $template_html );

• wp_unslash()：处理POST数据自带的反斜杠转义
• wp_kses_post()：过滤掉不安全的HTML标签，仅保留WordPress白名单内的标签

2. 完全保留所有HTML（含风险标签）

如果必须保留所有HTML（比如仅管理员操作的场景），直接处理转义后保存，同时添加PHPCS注释忽略安全提示：

// phpcs:ignore WordPress.Security.EscapeOutput.InputNotEscaped
$template_html = wp_unslash( $_POST['template_content_html'] );
update_post_meta( $post_id, 'template_content_html', $template_html );

注意：这种方式会保存所有HTML标签，包括<script>、<iframe>等风险标签，仅适用于你完全信任输入来源的场景。

补充说明 #

不要用sanitize_post_field()处理自定义Meta字段，它的设计逻辑是针对内置字段的规则校验，自定义字段应该使用WordPress提供的Meta字段专用处理函数或明确的过滤逻辑。

内容的提问来源于stack exchange，提问作者Ifat