如何用WordPress $wpdb->prepare生成安全多类型IN查询并去反斜杠

我来帮你搞定这个烦人的反斜杠问题！你遇到的核心问题是错误地将数组拼接成字符串后再传给%s占位符，导致$wpdb->prepare把整个拼接后的字符串当成单个参数处理，自动转义了里面的单引号，才出现了那些多余的反斜杠。

错误原因分析 #

你的原代码里：

$strPostType = (string) implode("', '", $postType);
$sql = $wpdb->prepare("SELECT `ID` FROM `{$wpdb->prefix}posts` WHERE `post_status` LIKE 'publish' AND `post_type` IN('%s')", array($strPostType));

这段代码把['post', 'product', 'page']转成了'post', 'product', 'page'字符串，然后%s会把这个字符串整体包裹成一个带单引号的参数，同时转义内部的单引号，最终就变成了IN('post\', \'product\', \'page')——这显然不是你想要的，因为数据库会把这个当成一个完整的字符串值，而不是三个独立的post类型。

正确的解决方案 #

正确的做法是给数组里的每个元素都分配一个%s占位符，然后直接把数组传给$wpdb->prepare，让它自动处理每个参数的转义：

$postType = array('post', 'product', 'page');
// 生成和数组元素数量匹配的%s占位符，用逗号分隔
$placeholders = implode(', ', array_fill(0, count($postType), '%s'));

// 把占位符插入SQL，然后直接传入数组作为参数
$sql = $wpdb->prepare(
    "SELECT `ID` FROM `{$wpdb->prefix}posts` WHERE `post_status` = 'publish' AND `post_type` IN($placeholders)",
    $postType
);

这样处理后，$wpdb->prepare会把数组里的每个元素分别转义并替换到对应的%s位置，最终生成的SQL会是：

SELECT `ID` FROM `cb_posts` WHERE `post_status` = 'publish' AND `post_type` IN('post', 'product', 'page')

完全没有多余的反斜杠，而且每个post类型都被正确转义，彻底避免了SQL注入风险。

额外优化小提示 #

你原来的post_status LIKE 'publish'可以改成post_status = 'publish'，因为publish是精确的状态值，不需要用模糊匹配的LIKE，这样查询效率会更高。

内容的提问来源于stack exchange，提问作者Shapon Pal