WordPress自定义插件中$wpdb的insert与update操作不生效如何解决

你的数据库操作不生效是几个低级写法错误导致的：

• 误用$wpdb->prepare()：这个方法的作用是转义SQL参数、生成安全的SQL语句，本身不会执行任何数据库操作。你写的UPDATE语句只调用了prepare，没有传入执行方法，根本不会在数据库运行。另外你现在直接把变量拼在prepare的SQL字符串里，完全没用到prepare的占位符机制，既起不到防注入的作用，写法也不符合规范。
• 没有做参数校验：直接从$_REQUEST里读取参数，没有判断参数是否存在、格式是否合法，参数缺失时会直接触发PHP警告，中断后续逻辑。
• 存在严重SQL注入风险：所有SQL语句都直接拼接用户传入的未转义参数，攻击者可以构造恶意参数篡改、拖走整个数据库的数据。
• 逻辑冗余：你现在先查库判断记录是否存在、再选择插入/更新的逻辑多了一次数据库查询，性能很差，只要给task_current_title字段加唯一索引，用MySQL原生的ON DUPLICATE KEY UPDATE语法一条SQL就能实现相同需求。

首先确认$this->tablenamev2是带WordPress表前缀的正确表名（即创建表时用$wpdb->prefix . '自定义表名'拼接得到的名称）。

匹配原有逻辑的修正版本 #

保留你先查后改的逻辑，修正所有写法问题：

function main()
{
    // 仅处理POST请求，不要用$_REQUEST做全局判断
    if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
        return;
    }
    global $wpdb;
    // 校验必填参数
    if (empty($_POST["task_current_time"]) || empty($_POST["task_current_title"])) {
        wp_send_json_error('缺少必填参数', 400);
        exit;
    }
    // 对用户输入做消毒处理
    $taskTime = sanitize_text_field($_POST["task_current_time"]);
    $taskTitle = sanitize_text_field($_POST["task_current_title"]);
    $table = $this->tablenamev2;

    // 正确使用prepare：用%s作为字符串占位符，第二个参数起传入绑定值，返回处理后的SQL再执行查询
    $record_exists = $wpdb->get_var(
        $wpdb->prepare("SELECT COUNT(*) FROM `{$table}` WHERE task_current_title = %s", $taskTitle)
    );

    if ($record_exists > 0) {
        // 用$wpdb->update方法执行更新，自动处理转义，不需要手写SQL
        $update_result = $wpdb->update(
            $table,
            // 要更新的字段和对应值
            ['task_current_time' => $taskTime],
            // 更新匹配条件
            ['task_current_title' => $taskTitle],
            // 字段值格式：%s代表字符串
            ['%s'],
            // 条件值格式
            ['%s']
        );
        // 操作失败时输出数据库错误信息方便排查
        if (false === $update_result) {
            wp_send_json_error('更新失败：' . $wpdb->last_error, 500);
        }
        wp_send_json_success('更新成功');
    } else {
        // 用$wpdb->insert方法执行插入，自动处理转义
        $insert_result = $wpdb->insert(
            $table,
            [
                'task_current_time' => $taskTime,
                'task_current_title' => $taskTitle
            ],
            ['%s', '%s']
        );
        if (false === $insert_result) {
            wp_send_json_error('插入失败：' . $wpdb->last_error, 500);
        }
        wp_send_json_success('插入成功');
    }
    exit;
}

推荐优化版本（单条SQL实现Upsert） #

先给数据表的task_current_title字段添加唯一索引，之后不需要提前查库，单条SQL就能实现「存在记录则更新、不存在则插入」的逻辑，性能更高：

function main()
{
    if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
        return;
    }
    global $wpdb;
    if (empty($_POST["task_current_time"]) || empty($_POST["task_current_title"])) {
        wp_send_json_error('缺少必填参数', 400);
        exit;
    }
    $taskTime = sanitize_text_field($_POST["task_current_time"]);
    $taskTitle = sanitize_text_field($_POST["task_current_title"]);
    $table = $this->tablenamev2;

    $operate_result = $wpdb->query(
        $wpdb->prepare(
            "INSERT INTO `{$table}` (task_current_title, task_current_time) 
            VALUES (%s, %s) 
            ON DUPLICATE KEY UPDATE task_current_time = VALUES(task_current_time)",
            $taskTitle,
            $taskTime
        )
    );

    if (false === $operate_result) {
        wp_send_json_error('操作失败：' . $wpdb->last_error, 500);
    }
    wp_send_json_success('操作成功');
    exit;
}

• 不要在WordPress业务逻辑里随便用var_dump、die()输出调试内容，会破坏WordPress的响应流程，调试时建议用error_log()把日志写入wp-content/debug.log文件排查问题。
• 不要直接读取$_REQUEST取值，它会同时接收GET、POST、COOKIE中的参数，存在安全风险，明确是POST请求就用$_POST取值。更规范的做法是用rest_api_init钩子注册正式的REST接口处理请求，不要直接在插件初始化钩子上跑数据库操作逻辑。
• 所有用户传入的参数必须经过WordPress提供的sanitize_text_field()等消毒函数处理后，再传入数据库操作方法，避免安全问题。

内容的提问来源于stack exchange，提问作者NoName84