$wpdb->prepare配合LIKE子句使用时百分号转义失效问题咨询

你看到的长哈希字符串是WordPress 4.8.3版本后新增的SQL注入防护逻辑：所有直接写在prepare()传入的SQL语句字符串里、未通过占位符参数传入的%字符，都会被临时替换为随机哈希值，且最终不会被还原为%，这也是你试的所有旧方案全部失效的核心原因——网上大部分旧教程都是针对4.8.3之前版本写的，完全没适配这个安全规则。

必须严格按以下顺序处理，缺一不可：

• 先用$wpdb->esc_like()转义用户传入的搜索关键词本身，把关键词里自带的%、_、\这类LIKE特殊字符转成普通字面量，避免用户输入的通配符干扰匹配逻辑、造成注入风险。
• 给转义后的关键词前后拼接你需要的%通配符（前后拼接是任意位置模糊匹配，只拼前缀是前缀匹配，只拼后缀是后缀匹配）。
• 把拼接完成的完整匹配串作为参数，通过%s占位符传入prepare()，绝对不要在SQL语句模板里直接写%通配符。

可直接运行的代码示例 #

global $wpdb;
$search = "abc";

// 转义搜索词内的LIKE特殊字符
$escaped_search = $wpdb->esc_like($search);
// 拼接通配符，组成完整匹配规则
$like_match = '%' . $escaped_search . '%';
// 安全预处理SQL
$sql = $wpdb->prepare(
    "SELECT * FROM mytable WHERE mycolumn LIKE %s",
    $like_match
);

// 执行查询拿结果
$results = $wpdb->get_results($sql);

• 双百分号%%%s%%方案：旧版本wpdb会把%%解析为字面量%，但新版本会直接把SQL模板里的所有%（包括%%转义出来的）替换成哈希，根本不会还原。
• 方括号[%]包裹方案：这是SQL Server的LIKE转义语法，MySQL本身不支持，同时也会触发%的哈希替换规则。
• 直接拼接变量方案：完全绕过了prepare的安全校验，不仅会触发哈希替换，还存在明确的SQL注入漏洞，生产环境绝对不能用。
• 单独调用esc_like的方案：你之前的写法把需要作为通配符的%和搜索词一起传入了esc_like()，会把本该作为通配符的%转义成普通字面量\%，而且没有把处理后的内容通过占位符传入prepare，自然无法生成正确SQL。

内容的提问来源于stack exchange，提问作者Mark Williams