WordPress站点MySQL数据库存储单引号时多反斜杠问题求助

这个问题我之前帮同行排查过好几次，核心就是重复转义在搞鬼——要么是PHP旧特性和WordPress的转义逻辑叠加，要么是你自己的代码多做了一次转义操作。下面一步步给你解决思路：

一、先定位重复转义的根源 #

WordPress默认会对$_POST、$_GET这类全局变量自动做转义（本质是为了兼容旧PHP版本的magic_quotes_gpc特性），如果你自己的代码里又手动调用了addslashes()、mysql_real_escape_string()这类转义函数，就会出现单引号前被反复加反斜杠的情况。

二、正确的处理步骤 #

1. 用WordPress自带函数取消自动转义 #

先把WordPress自动加上的斜杠去掉，用wp_unslash()函数（这比原生的stripslashes更安全，因为它能处理数组和字符串）：

// 假设你从POST获取表单的JSON数据
$raw_json = wp_unslash($_POST['form_data']);
// 解析JSON
$form_data = json_decode($raw_json, true);

2. 用WordPress数据库类安全转义（避免SQL注入+重复转义） #

不要手动调用addslashes，直接用$wpdb->prepare()或者esc_sql()来处理要存入数据库的内容，这两个函数会自动做一次安全转义，不会重复叠加：

global $wpdb;
// 示例：存入单个字段
$user_input = $form_data['user_input'];
$safe_input = $wpdb->prepare('%s', $user_input);
$wpdb->query("INSERT INTO your_table (your_column) VALUES ($safe_input)");

// 或者更简洁的写法（推荐）
$wpdb->insert(
    'your_table',
    array('your_column' => $user_input),
    array('%s') // 定义字段类型，自动转义
);

3. 修复数据库中已有的冗余斜杠 #

如果数据库里已经存了一堆\\'这样的内容，可以用SQL语句批量修复：

UPDATE your_table 
SET your_column = REPLACE(your_column, '\\\'', '\'');

注意：执行前一定要先备份数据库！SQL里的反斜杠需要双重转义，所以这里用三个反斜杠+单引号来匹配数据库里的\\'。

三、额外注意事项 #

• 检查前端代码：如果前端在提交JSON前手动做了转义（比如用JSON.stringify时某些框架的自动处理），后端要对应调整，确保只做一次转义。
• 永远不要直接拼接SQL语句：即使你觉得已经处理了转义，也一定要用$wpdb的方法来操作数据库，既避免重复转义，又防止SQL注入。

内容的提问来源于stack exchange，提问作者Fosco Ventura