WordPress插件检测工具（PCP）报错：Use placeholders and $wpdb->prepare(); found $sql 问题求助

嘿，我来帮你排查这个问题！其实你已经用到了$wpdb->prepare()，但PCP还是报错，大概率是因为你直接把表名变量{$table1}插入到了SQL字符串里，静态代码检测工具没法判断这个表名是安全的，所以触发了警告。

给你两个调整方案，都能解决这个报错：

方案一：给表名添加安全转义 #

在使用表名前，用esc_sql()包裹一下，告诉检测工具你已经做了安全处理：

$db = STEPUP_Database::getInstance();
$table1 = esc_sql( $db->tb_lp_sections ); // 这里添加esc_sql转义表名
$sql = "SELECT COUNT(*) FROM {$table1} WHERE section_course_id = %d";
$query = $db->wpdb->prepare( $sql, $post_id );
$result = $db->wpdb->get_var( $query );

方案二：简化写法（更推荐） #

直接把prepare和get_var合并，同时处理表名转义，代码更简洁：

$db = STEPUP_Database::getInstance();
$table1 = esc_sql( $db->tb_lp_sections );
$result = $db->wpdb->get_var(
    $db->wpdb->prepare(
        "SELECT COUNT(*) FROM {$table1} WHERE section_course_id = %d",
        $post_id
    )
);

补充说明 #

• esc_sql()专门用来转义SQL语句里的标识符（比如表名、字段名），它能确保表名不会引入SQL注入风险，同时让PCP的检测规则认可这个写法。
• 要确保你的STEPUP_Database类里的tb_lp_sections是固定的表名（比如基于$wpdb->prefix生成的），不是用户可控的内容，这是基础安全前提哦。

内容来源于stack exchange