获取未转义的 POST，而不是 WordPress 中的魔法引用值

Question

以下问题：With "magic quotes" disabled, why does PHP/WordPress continue to auto-escape my POST data?

在 WordPress 中，即使 magic quotes 关闭，所有超全局变量都会被转义。

所以，按照这个答案：With "magic quotes" disabled, why does PHP/WordPress continue to auto-escape my POST data?

如果我创建一个插件和一个类来访问原始 POST、GET 等，这是一个好的解决方案吗？您认为这种方法有什么缺点和问题吗？

下面是我的插件：

class MyPluginRequest{
    public static function getPost( $key ){
        global $_REAL_POST;
        return isset( $_REAL_POST[ $key ] )? $_REAL_POST[ $key ] : FALSE ;
    }
}

// A hack to cope with un-configurable call to wp_magic_quotes
// E.G. Make the original $_POST available through a global $_REAL_POST
global $_REAL_GET, $_REAL_POST, $_REAL_COOKIE, $_REAL_REQUEST;
$_REAL_GET     = $_GET;
$_REAL_POST    = $_POST;
$_REAL_COOKIE  = $_COOKIE;
$_REAL_REQUEST = $_REQUEST;

然后，每当我需要发布的未转义值时，我都会使用 MyPluginRequest::getPost( 'submit' );。

$wpdb->escape 是否期望一个已经神奇的引用值或未转义的值？

Answer 1

看起来应该可以正常工作。在问题的后半部分，我相信 $wpdb->escape 已被弃用，根据评论块

/**
 * Do not use, deprecated.
 *
 * Use esc_sql() or wpdb::prepare() instead.
 *
 * ...

查看 WordPress 代码以确定 wpdb::prepare 是否期望魔法引用值导致我们陷入可怕的 WordPress 代码的泥潭...>咬舌

它看起来对我来说需要非魔法引用的字符串，但如果你传递一个魔法引用的字符串，它有可能不会双重转义，尽管我会通过测试来验证。