WordPress插件中SQL查询字符串变量未加单引号导致取值异常

核心问题1：字符串查询未加单引号 #

你原代码里直接把$username拼进SQL语句，生成的SQL会是WHERE username = 你的用户名——数据库会把这里的用户名当成字段名，而不是字符串值，自然查不到数据，返回NULL。

而你手动写的WHERE username = 'username'加了单引号，数据库才会把引号里的内容识别为要匹配的字符串，所以能查到结果。

核心问题2：未使用安全的SQL查询方式 #

直接拼接变量到SQL里不仅会出语法错误，还存在SQL注入风险，WordPress专门提供了$wpdb->prepare()方法来处理这种情况，它会自动帮你添加引号、转义特殊字符，既保证语法正确，又避免安全问题。

修正后的代码 #

if (isset($_POST['send_user'])) {
    $username = sanitize_text_field( $_POST['username'] );
    global $wpdb;
    // 使用prepare方法，%s作为字符串占位符，自动处理引号和转义
    $customer_id = $wpdb->get_var( $wpdb->prepare( 
        "SELECT user_id FROM {$wpdb->prefix}wc_customer_lookup WHERE username = %s", 
        $username 
    ) );
}

另外补充两点细节：

• 用{$wpdb->prefix}代替硬写的wp_，适配不同WordPress站点的表前缀设置
• $wpdb->prepare()的占位符要和变量类型对应：字符串用%s，数字用%d，浮点用%f

内容的提问来源于stack exchange，提问作者Chris Norman