文本区域中的 WordPress SQL 命令

Question

假设我有一个在帖子中生成以下内容的表单：

$title = sanitize_text_field($_POST['title']);
$text = esc_textarea($_POST['$text']);

然后我使用准备语句在数据库中插入值，但我有一个问题。我有这一行将值发送到数据库：

$wpdb->prepare("INSERT INTO $table_emails VALUES('', %s, %s)", $title, $text);

可以说这样可以防止人们插入SELECT * FROM table_name之类的内容吗？

Answer 1

准备好的语句“注入”值并将您的查询包装在“标签”和其他东西中。我不是 MySQL 专家，因为这些天我依赖查询构建器，但准备好的语句的一般目的是避免注入。

上面应该输出类似

INSERT INTO `$table_emails` VALUES ('','title', 'text');

如果有人试图在上面插入一个语句，我很确定（大约 6 年没有使用 wordpress）它看起来像这样：

INSERT INTO `$table_emails` VALUES ('', '\';SELECT * FROM blah;\'', '');

请注意，现在注射只是我年轻的学徒的一根绳子。

但是是的，准备好的语句是老板防止 bobby drop 表进入的方式。