WordPress开发中tel字段应使用哪个sanitize数据清理函数？

WordPress核心到目前为止都没出专门针对tel类型字段的内置清理函数，直接用sanitize_text_field()能挡住大部分基础注入风险，但适配性很差，属于“能用但不好用”的方案，更推荐按存储入库、前端输出两个场景做针对性处理：

入库存储阶段的清理逻辑 #

sanitize_text_field()会自动去除HTML标签、PHP标签、换行符、多余空白，转义HTML实体，能挡住大部分常规注入风险，但它不会过滤电话号码场景下的非法字符（比如@、?、引号、特殊符号等），也不会处理拨号协议不识别的冗余字符。
更稳妥的处理方式是先调用sanitize_text_field()做基础防护，再通过正则仅保留电话号码合法字符，参考实现：

/**
 * 清理电话号码字段
 * 允许保留的合法字符：数字、+（国际区号前缀）、-、()（分隔符）、空格、*、#（功能键）、x/ext（分机标识）
 */
function custom_sanitize_tel( $input_tel ) {
    $tel = sanitize_text_field( $input_tel );
    $tel = preg_replace( '/[^0-9\+\-\(\)\s\*\#xext]/i', '', $tel );
    return trim( preg_replace( '/\s+/', ' ', $tel ) );
}

前端输出阶段的转义逻辑 #

分两种输出场景选择对应转义函数，不要混用：

• 输出到<a href="tel:xxx">的属性位置时：href属性内的tel协议仅稳定识别数字和+字符，需要先剔除所有分隔符、分机标识等冗余字符，再用esc_attr()转义，既避免属性注入风险，也能保证移动端拨号功能正常
• 输出为页面上用户可见的电话号码文本时：直接对清理后的电话号码用esc_html()转义即可，避免XSS风险

输出参考代码：

$clean_tel = custom_sanitize_tel( $raw_tel_value );
if ( ! empty( $clean_tel ) ) {
    // 提取纯拨号号码（仅保留数字和+）
    $dial_tel = preg_replace( '/[^0-9\+]/', '', $clean_tel );
    printf(
        '<a href="tel:%s" class="contact-tel">%s</a>',
        esc_attr( $dial_tel ),
        esc_html( $clean_tel )
    );
}

注意：不要用sanitize_url()、sanitize_email()处理电话号码字段。sanitize_url()会对特殊字符做URL编码，可能导致移动端拨号识别失败；sanitize_email()会过滤掉大量电话号码合法字符，导致号码被截断。

内容的提问来源于stack exchange，提问作者vwihw5xgpl