Tôi mới sử dụng SQL và đang tự hỏi liệu tôi có cần sử dụng wpdb->preparecho truy vấn sau vào bảng tôi đã tạo không
global $wpdb;
$tablename = $wpdb->prefix . "my_custom_table";
$sql = "SELECT * FROM " . $tablename . " ORDER BY date_created DESC";
$resulst = $wpdb->get_results( $sql , ARRAY_A );
Tôi có cần sử dụng prepareở đây không? Làm thế nào tôi sẽ làm điều đó?
Chúc mừng
Câu trả lời:
Cách tốt nhất là luôn luôn sử dụng preparenhưng công dụng chính của nó là ngăn chặn các cuộc tấn công tiêm nhiễm SQL và vì không có đầu vào từ người dùng / khách truy cập hoặc họ không thể thực hiện truy vấn nên đó không phải là vấn đề trong ví dụ hiện tại của bạn.
Nhưng như tôi đã nói trước đây, đó là cách tốt nhất để sử dụng nó và một khi bạn bắt đầu sử dụng nó, bạn sẽ không bao giờ dừng lại, vì vậy trong ví dụ của bạn, bạn có thể sử dụng nó như vậy:
global $wpdb;
$tablename = $wpdb->prefix . "my_custom_table";
$sql = $wpdb->prepare( "SELECT * FROM %s ORDER BY date_created DESC",$tablename );
$results = $wpdb->get_results( $sql , ARRAY_A );để đọc thêm về cách sử dụng nó vào codex
$tablename = $wpdb->prefix . "my_custom_table"; $concert_id = 1; $sql = "SELECT * FROM " . $tablename . " WHERE concert_id = %d LIMIT 1;"; $prep_sql = $wpdb->prepare( $sql, $concert_id ); $get_concerts = $wpdb->get_results( $prep_sql , ARRAY_A ); Và nó hoạt động rất tốt! Không chắc chắn tại sao điều đó sẽ được. Nhưng tôi nhận được nó bây giờ trong mọi trường hợp!
SELECT * FROM `wp_my_custom_table`. Bạn có thể kích hoạt hỗ trợ báo giá kép, nhưng sau đó nó sẽ phải như thế này : SELECT * FROM "wp_my_custom_table".
Khi bạn sử dụng chuẩn bị, nó sẽ bảo vệ mã khỏi các lỗ hổng SQL tiêm.
Đây là mã bạn cần sửa đổi để sử dụng prepare();
global $wpdb;
$tablename = $wpdb->prefix . "my_custom_table";
$sql = $wpdb->prepare( "SELECT * FROM {$tablename} ORDER BY date_created DESC");
$resulst = $wpdb->get_results( $sql , ARRAY_A );Trong trường hợp của bạn là không thể tấn công SQL tiêm . Mã của bạn không cần bảo vệ bổ sung vì không sử dụng đầu vào của người dùng như: đăng, nhận, yêu cầu, cookie.
Không sử dụng chức năng phức tạp khi không cần thiết để tiết kiệm tài nguyên máy chủ.