wpdb::prepare() │ public │ WP 2.3.0

$sql = "SELECT * FROM table WHERE id = '$var'";

SELECT * FROM table WHERE id = '2' AND id = (DROP TABLE table2)

$sql = $wpdb->prepare( "SELECT * FROM table WHERE id = %s", $var);

$name = esc_sql($name);
$status = esc_sql($status);

$wpdb->get_var( "SELECT something FROM table WHERE foo = '$name' and status = '$status'" );

Global $wpdb;
$wpdb->prepare( $query, ...$args );

$wpdb->prepare(
	"SELECT * FROM `table` WHERE `column` = %s AND `field` = %d OR `other_field` LIKE %s",
	[ 'foo', 1337, '% bar']
);

$wpdb->prepare(
	"SELECT DATE_FORMAT(`field`, '%%c') FROM `table` WHERE `column` = %s", 'foo'
);

$metakey = " крах " БД " ;
$metavalue = "WordPress може 'зламати' Базу Даних якщо не екранувати запит.";

$wpdb->query(
	$wpdb->prepare(
		"INSERT INTO $wpdb->postmeta ( post_id, meta_key, meta_value ) VALUES ( %d, %s, %s )",
		10,
		$metakey,
		$metavalue
  )
);

$metakey = " крах " БД " ;
$metavalue = "WordPress може 'зламати' Базу Даних якщо не екранувати запит.";

$wpdb->query(
	$wpdb->prepare(
		"INSERT INTO $wpdb->postmeta ( post_id, meta_key, meta_value ) VALUES ( %d, %s, %s )",
		array(
			10,
			$metakey,
			$metavalue
		)
  )
);

список змін

wpdb::prepare ^{WP 6.0.2}

public function prepare( $query, ...$args ) {
	if ( is_null( $query ) ) {
		return;
	}

	// Це не означає, що не буде боротьбою - але це буде catch obviously incorrect usage.
	if ( strpos( $query, '%' ) === false ) {
		wp_load_translations_early();
		_doing_it_wrong(
			'wpdb::prepare',
			sprintf(
				/* translators: %s: wpdb::prepare() */
				__( 'The query argument of %s must have a placeholder.' ),
				'wpdb::prepare()'
			),
			'3.9.0'
		);
	}

	// Якщо args були passed as array (as in vsprintf), movem them up.
	$passed_as_array = false;
	if ( isset( $args[0] ) && is_array( $args[0] ) && 1 === count( $args ) ) {
		$passed_as_array = true;
		$args = $args[0];
	}

	foreach ( $args as $arg ) {
		if ( ! is_scalar( $arg ) && ! is_null( $arg ) ) {
			wp_load_translations_early();
			_doing_it_wrong(
				'wpdb::prepare',
				sprintf(
					/* translators: %s: Value type. */
					__( 'Unsupported value type (%s).' ),
					gettype( $arg )
				),
				'4.8.2'
			);
		}
	}

	/*
	 * Специфікація формування займається в зоні місця перебування. The following are allowed:
	 *
	 * - Sign specifier. eg, $+d
	 * - Numbered placeholders. eg, %1$s
	 * - Padding specifier, включаючи custom padding characters. eg, %05s, %'#5s
	 * - Alignment specifier. eg, %05-s
	 * - Precision specifier. eg, %.2f
	 */
	$allowed_format = '(?:[1-9][0-9]*[$])?[-+0-9]*(?: |0|'.)?[-+0-9]* (?: . [0-9] +)?';

	/*
	 * Якщо %s placeholder already has quotes around it, removing the existing quotes and re-inserting them
	 * ensures the quotes are consistent.
	 *
	 * Для backward compatibility, це є тільки applied to %s, і не placeholders як %1$s, які є frequently
	 * Використовується в середині longer strings, або як table name placeholders.
	 */
	$query = str_replace( "%s", %s, $query ); // Strip any existing single quotes.
	$query = str_replace( '%s', '%s', $query ); // Strip any existing double quotes.
	$query = preg_replace( '/(?<!%)%s/', "'%s'", $query ); // Quote the strings, avoiding escaped strings як %%s.

	$query = preg_replace( "/(?<!%)(%($allowed_format)?f)/", '%2F', $query ); // Force floats to be locale-unaware.

	$query = preg_replace( "/%(?:%|$|(?!($allowed_format)?[sdF])))/", '%%1', $query ); // Escape any unescaped percents.

	// Count the number of valid placeholders in the query.
	$placeholders = preg_match_all( "/(^|[^%]|(%%)+)%($allowed_format)?[sdF]/", $query, $matches );

	$ args_count = count ($ args);

	if ( $args_count !== $placeholders ) {
		if ( 1 === $placeholders && $passed_as_array ) {
			// Якщо passed query тільки expected один argument, але wrong number of arguments були sent as array, bail.
			wp_load_translations_early();
			_doing_it_wrong(
				'wpdb::prepare',
				__( 'The query only expected one placeholder, but array of multiple placeholders was sent.' ),
				'4.9.0'
			);

			return;
		} else {
			/*
			 * Якщо ми не повинні мати правий номер placeholders, але вони були прописані як окремі argumenty,
			 * або ми були expecting multiple arguments in array, throw a warning.
			 */
			wp_load_translations_early();
			_doing_it_wrong(
				'wpdb::prepare',
				sprintf(
					/* translators: 1: Number of placeholders, 2: Number of arguments passed. */
					__( 'The query does no contain the correct number of placeholders (%1$d) for the number of arguments passed (%2$d).' ),
					$placeholders,
					$args_count
				),
				'4.8.3'
			);

			/*
			 * Якщо ми не маємо багато arguments до матчу placeholders,
			 * return empty string to avoid fatal error на PHP 8.
			 */
			if ( $args_count < $placeholders ) {
				$max_numbered_placeholder =! empty( $matches[3] ) ? max( array_map( 'intval', $matches[3] ) ) : 0;

				if ( ! $max_numbered_placeholder || $args_count < $max_numbered_placeholder ) {
					return '';
				}
			}
		}
	}

	array_walk( $args, array( $this, 'escape_by_ref' ) );
	$query = vsprintf($query, $args);

	return $this->add_placeholder_escape( $query );
}

Зв’язані функції

wpdb