清理插入到 WordPress MySQL 数据库中的 URL

Question

我正在为 Wordpress 编写一个插件，其中我有自己的自定义表来存储从远程 API 中提取的相关数据。我需要存储的元素之一是 URL，它是我数据库中的 TEXT 字段。

由于我看到很多 cmets 说不要在 Wordpress 插件中使用标准的 mysql_ 或 mysqli_ 函数，我想知道在插入 URL 之前转义 URL 的最佳方法是什么？使用esc_url() 是否足够了，或者我还需要做什么？

    case "Create":
    {
        $tag = $_POST['product_tag'];
        $name = $_POST['product_name'];
        $asin = $_POST['product_id'];

        $response = getPrice("com", $asin);

        $result = $wpdb->insert( $table_name, array(
            'tag' => $tag,
            'name' => $name,
            'asin' => $asin,
            'price' => $response['price'],
            'url' => esc_url($response['url'])
        ));

        if ($result !== FALSE)
            echo "Successfully inserted new Amazon Product.";
        else
            echo "An Error occurred.";

        break;
    }

Answer 1

通常，您只需在数据库中按原样插入一个 URL，并且只在呈现它时关心安全问题。当然，这假设您正在正确地做事，就像您在这里明确调用 insert 函数一样，并将数据作为关联数组发送。

真正的风险在于人们绕过 WPDB 并直接插入内容，而且通常使用字符串连接很糟糕。

您应该在显示这些值时调用esc_url。由于您可能会不时更改允许的 URL，限制它们或根据需要更改打开它们，因此最好将它们保留在数据库中，并根据具体情况准备显示。