Italiano
Español
RomânăНужно ли использовать wpdb prepare?
Я новичок в SQL и хочу узнать, нужно ли использовать wpdb->prepare для следующего запроса к созданной мной таблице
global $wpdb;
$tablename = $wpdb->prefix . "my_custom_table";
$sql = "SELECT * FROM " . $tablename . " ORDER BY date_created DESC";
$resulst = $wpdb->get_results( $sql , ARRAY_A );
Нужно ли мне здесь использовать prepare? Как это сделать?
Спасибо
Привет @Bainternet, спасибо за такое четкое объяснение - почему-то, когда я пробую твой код, он возвращает пустой массив. Я проверил и перепроверил на опечатки. Если я выполняю неподготовленный запрос, я получаю массив. Не понимаю, почему это не работает..!
Richard Sweeney
Странно. Я попробовал использовать тот же код с другим запросом: `$tablename = $wpdb->prefix . "my_custom_table"; $concert_id = 1;
$sql = "SELECT * FROM " . $tablename . " WHERE concert_id = %d LIMIT 1;";
$prep_sql = $wpdb->prepare( $sql, $concert_id );
$get_concerts = $wpdb->get_results( $prep_sql , ARRAY_A );`
И он отлично работает! Не уверен, почему так. Но в любом случае теперь я это понял!
Richard Sweeney
Заключение названия таблицы в одинарные кавычки не сработает. Обычное экранирование делается с помощью обратных кавычек, поэтому ваш запрос должен выглядеть так: SELECT * FROM \wp_my_custom_table`. Вы можете включить поддержку двойных кавычек, но тогда это должно выглядеть так:SELECT * FROM "wp_my_custom_table"`.
Jan Fabry
Я не согласен с этим ответом. Зачем экранировать, если функция уже экранирует всё? Вы думаете, WordPress решит убрать экранирование из ядра? Также нет смысла экранировать имя таблицы :) потому что оно жёстко задано и вы знаете, что оно корректно. Я понимаю, что это просто пример, но всё же не экранируйте имена таблиц - у меня были проблемы при использовании prepare с именами таблиц, он добавляет обратные кавычки, и SQL выдаёт ошибку.
Tommixoft
@Tommixoft Если вы перечитаете ответ, то увидите, что вы фактически говорите то же самое, что и я, и что имя таблицы приведено как пример.
Bainternet
Просто использование prepare() не означает, что код автоматически защищен от SQL-инъекций. Ваш код может создавать впечатление, что $tablename защищен от SQL-инъекций, поскольку используется в prepare, но это не так, потому что он не передается через аргументы. В данном случае это не проблема, так как содержимое $tablename безопасно, но, думаю, было бы полезно это прояснить.
Constantin
Да. Этот ответ неверен и, я бы сказал, опасно вводит в заблуждение. Вы вызвали prepare таким образом, который на самом деле не защищает от SQL-инъекций.
Harry Wood