MemberPress与WordPress环境下PHP/MySQL查询报错排查求助

问题背景 #

我们已安装MemberPress，作为新任开发者接手项目后，运行前任开发者编写的PHP代码时出现数据库错误。

原代码 #

if($user_meta['mepr_is_training_active'][0] != ''  && $user_meta['mepr_is_training_active'][0] == 'on'){
    $have_training = 'yes';
}
else{
    $mpca_id = get_user_meta($user_id, 'mpca_corporate_account_id', true);
    global $wpdb;
    $sql = $wpdb->prepare( "SELECT user_id FROM wp_mepr_corporate_accounts WHERE id = ".$mpca_id);
    $results = $wpdb->get_results($sql);
    foreach($results as $result){
        if(!empty($result->user_id) || $result->user_id != '' || $result->user_id != ' '){
            $user_meta_parent = get_user_meta(trim($result->user_id));
            if($user_meta_parent['mepr_is_training_active'][0] != ''  && $user_meta_parent['mepr_is_training_active'][0] == 'on'){
                $have_training = 'yes';
            }
        }   
    }   
}

错误日志 #

WordPress database error You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '' at line 1 for query SELECT user_id FROM wp_mepr_corporate_accounts WHERE id =

错误原因分析 #

1. 空值直接拼接导致语法错误：错误日志显示SQL语句最后是id = ，说明$mpca_id为空（可能用户未设置该元数据），直接拼接后破坏了SQL语法结构。
2. 误用$wpdb->prepare：该函数的核心作用是通过占位符传递参数来防SQL注入，原代码直接拼接变量，完全没用到它的正确用法，既不安全又容易出语法问题。

修复方案 #

修复后的代码 #

if($user_meta['mepr_is_training_active'][0] != ''  && $user_meta['mepr_is_training_active'][0] == 'on'){
    $have_training = 'yes';
}
else{
    $mpca_id = get_user_meta($user_id, 'mpca_corporate_account_id', true);
    // 先校验mpca_id的有效性，避免空值进入查询
    $clean_mpca_id = trim($mpca_id);
    if(!empty($clean_mpca_id)){
        global $wpdb;
        // 使用占位符% d（数字类型）传递参数，同时用wpdb前缀适配不同站点
        $sql = $wpdb->prepare( 
            "SELECT user_id FROM {$wpdb->prefix}mepr_corporate_accounts WHERE id = %d", 
            $clean_mpca_id
        );
        $results = $wpdb->get_results($sql);
        foreach($results as $result){
            $clean_user_id = trim($result->user_id);
            // 简化非空判断逻辑
            if(!empty($clean_user_id)){
                $user_meta_parent = get_user_meta($clean_user_id);
                // 增加数组键存在性检查，避免未定义索引警告
                if(isset($user_meta_parent['mepr_is_training_active'][0]) 
                   && $user_meta_parent['mepr_is_training_active'][0] == 'on'){
                    $have_training = 'yes';
                    // 找到符合条件的记录后提前退出循环，提升效率
                    break;
                }
            }   
        }   
    }
}

关键修复点 #

• 增加$mpca_id的非空校验，空值时直接跳过查询逻辑
• 正确使用$wpdb->prepare的占位符语法，杜绝SQL注入风险
• 用{$wpdb->prefix}代替硬编码的wp_，适配不同数据库前缀的WordPress站点
• 简化非空判断逻辑，增加数组键存在性检查，避免PHP警告
• 找到符合条件的记录后用break终止循环，减少不必要的遍历

内容的提问来源于stack exchange，提问作者post poop zoomies