WordPress自定义查询仅用sanitize_text_field能否防SQL注入

仅使用sanitize_text_field完全无法防范SQL注入，你当前的代码存在高危注入风险，必须补充多层安全校验。

你当前的实现只对$col_name做了通用文本清理，另外两个参数完全没有防护，且sanitize_text_field本身就不是为SQL安全设计的函数，具体风险点如下：

• sanitize_text_field的设计目标是过滤普通文本中的HTML标签、不可见字符、多余空白，仅适用于内容展示、普通元数据存储场景，对SQL语法的特殊语义没有针对性拦截能力，即使是列名字段，依然可以构造绕过的注入Payload。
• $operator参数完全未做任何校验，攻击者可以传入拼接了UNION查询、注释符的恶意字符串，直接改写SQL逻辑拖取敏感数据（比如用户账号、密码哈希）甚至删除整表数据。
• $value参数完全未转义直接拼接在单引号中，只要传入包含单引号的Payload（比如' OR 1=1 --）就能闭合前面的单引号，绕过所有查询条件，实现任意SQL执行。

WordPress的$wpdb对象已经提供了完整的SQL安全处理能力，不要自己写过滤逻辑，按照以下三层校验实现即可：

• 列名强制白名单校验：绝对不要信任用户传入的列名，提前定义业务允许查询的列数组，传入值不在白名单内直接终止查询，不要尝试用转义、过滤函数处理列名，白名单是这类标识符参数唯一可靠的防护方式。
• 操作符强制白名单校验：同理提前定义允许使用的SQL操作符列表，不在列表内的参数直接拒绝，禁止直接拼接用户传入的操作符字符串。
• 值参数使用$wpdb预处理机制：所有传入的查询值，全部用$wpdb->prepare()方法做预处理转义，不要自己拼接单引号包裹值，针对整数、字符串、浮点数分别使用%d/%s/%f占位符，IN查询场景单独处理数组值的占位符生成。

加固后的参考实现代码 #

// 提前定义允许的列和操作符白名单
$allowed_cols = ['ID', 'post_title', 'post_date', 'post_status', 'post_author', 'post_type'];
$allowed_operators = ['=', '!=', '>', '<', '>=', '<=', 'LIKE', 'NOT LIKE', 'IN'];

// 初始化基础查询
$query = "SELECT * FROM {$wpdb->posts} WHERE 1=1";
$prepare_args = [];

foreach ($filters as $filter) {
    $filter = (array) $filter;
    $col_name = $filter['col_name'];
    $operator = strtoupper(trim($filter['operator']));
    $value = $filter['value'];

    // 校验列名和操作符合法性，非法参数直接跳过或终止查询
    if (!in_array($col_name, $allowed_cols) || !in_array($operator, $allowed_operators)) {
        wp_die('非法查询参数');
    }

    // 分场景处理不同操作符的值
    if ($operator === 'IN') {
        if (!is_array($value)) $value = (array) $value;
        // 为IN数组生成对应数量的占位符
        $placeholders = implode(',', array_fill(0, count($value), '%s'));
        $query .= " AND `{$col_name}` IN ({$placeholders})";
        $prepare_args = array_merge($prepare_args, $value);
    } else {
        $query .= " AND `{$col_name}` {$operator} %s";
        // LIKE操作符手动转义通配符
        if (in_array($operator, ['LIKE', 'NOT LIKE'])) {
            $value = '%' . $wpdb->esc_like($value) . '%';
        }
        $prepare_args[] = $value;
    }
}

// 执行预处理后再查询
$final_query = $wpdb->prepare($query, $prepare_args);
$results = $wpdb->get_results($final_query);

注意：所有SQL标识符（库名、表名、列名）都无法通过prepare的占位符转义，这类参数唯一安全的处理方式就是白名单校验，不要尝试用任何转义函数过滤后直接拼接。

内容的提问来源于stack exchange，提问作者shahrukh khan