分析 `wpdb` 类的 `insert()` 和 `update()` 方法源码，它们如何构建安全的 SQL 语句？ - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

各位观众老爷，晚上好！我是老码农，今天给大家讲讲 WordPress 的 wpdb 类，尤其是它的 insert() 和 update() 方法，看看它如何小心翼翼地构建安全的 SQL 语句，避免被坏人注入恶意代码。

开场白：SQL 注入的威胁

SQL 注入就像是小偷在你家门上开了个后门，可以直接进入你的数据库，偷走你的数据，或者更糟糕，直接把你的数据库砸个稀巴烂。WordPress 作为全球最流行的 CMS，自然是黑客们重点关注的对象。wpdb 类作为 WordPress 连接数据库的核心，其安全性至关重要。

wpdb 类简介

wpdb 类是 WordPress 中用于与数据库交互的类，它封装了各种数据库操作，例如查询、插入、更新和删除。它通过使用 esc_sql() 和 prepare() 函数来防止 SQL 注入攻击。

insert() 方法：插入数据的艺术

insert() 方法用于向数据库表中插入数据。它的基本用法如下：

global $wpdb;

$table_name = $wpdb->prefix . 'mytable';
$data = array(
    'name' => '老码农',
    'age' => 35,
    'email' => '[email protected]'
);
$format = array('%s', '%d', '%s'); // 数据类型格式

$result = $wpdb->insert($table_name, $data, $format);

if ($result === false) {
    echo '插入失败：' . $wpdb->last_error;
} else {
    echo '成功插入 ' . $wpdb->insert_id . ' 行';
}

$table_name: 要插入数据的表名。通常使用 $wpdb->prefix 来确保表名与 WordPress 安装相关联，避免多站点冲突。
$data: 一个关联数组，包含了要插入的字段名和对应的值。
$format: 一个数组，指定了 $data 中每个值的类型。例如，%s 表示字符串，%d 表示整数，%f 表示浮点数。这非常重要，它告诉 wpdb 如何正确地转义这些值。

现在，让我们深入源码，看看 insert() 方法是如何构建 SQL 语句的：

public function insert( $table, $data, $format = null ) {
    return $this->_insert_helper( $table, $data, $format, 'insert' );
}

private function _insert_helper( $table, $data, $format = null, $type = 'insert' ) {
    // 省略了一些代码，比如参数校验...

    $fields = array_keys( $data );
    $values = array_values( $data );

    if ( ! is_array( $format ) ) {
        $format = array_fill( 0, count( $fields ), $format );
    }

    $formats = $format;
    $bits = array();
    $this->num_queries++;
    $this->last_query = null;

    for ( $i = 0; $i < count( $fields ); $i++ ) {
        if ( ! isset( $format[ $i ] ) ) {
            $format[ $i ] = '%s';
        }
        $bits[] = $formats[ $i ];
    }

    $field_names  = '`' . implode( '`, `', $fields ) . '`';
    $placeholders = implode( ', ', $bits );

    if ( 'insert' === $type ) {
        $sql = "INSERT INTO `$table` ( $field_names ) VALUES ( $placeholders )";
    } else {
        // update
        $sql = "REPLACE INTO `$table` ( $field_names ) VALUES ( $placeholders )";
    }

    $sql = $this->prepare( $sql, $values );

    if ( ! $this->dbh ) {
        return false;
    }

    if ( defined( 'SAVEQUERIES' ) && SAVEQUERIES ) {
        $this->queries[] = $sql;
        $this->query_times[] = timer_stop();
    }

    $result = $this->query( $sql );

    if ( $result ) {
        $this->insert_id = ( $this->dbh ) ? mysqli_insert_id( $this->dbh ) : 0;

        return $result;
    } else {
        return false;
    }
}

关键点在于 prepare() 方法的使用。在 SQL 语句构建完成后，$sql = $this->prepare( $sql, $values ); 这一行代码将 SQL 语句和数据传递给 prepare() 方法进行处理。

update() 方法：更新数据的守护者

update() 方法用于更新数据库表中的数据。它的基本用法如下：

global $wpdb;

$table_name = $wpdb->prefix . 'mytable';
$data = array(
    'age' => 36,
    'email' => '[email protected]'
);
$where = array(
    'name' => '老码农'
);
$format = array('%d', '%s');
$where_format = array('%s');

$result = $wpdb->update($table_name, $data, $where, $format, $where_format);

if ($result === false) {
    echo '更新失败：' . $wpdb->last_error;
} else {
    echo '成功更新 ' . $result . ' 行';
}

$table_name: 要更新数据的表名。
$data: 一个关联数组，包含了要更新的字段名和对应的新值。
$where: 一个关联数组，包含了更新的条件。
$format: 一个数组，指定了 $data 中每个值的类型。
$where_format: 一个数组，指定了 $where 中每个值的类型。

同样地，让我们看看 update() 方法的源码：

public function update( $table, $data, $where, $format = null, $where_format = null ) {
    if ( ! is_array( $data ) ) {
        return false;
    }

    if ( ! is_array( $where ) ) {
        return false;
    }

    $fields = array();
    $values = array_values( $data );
    $formats = $format;

    if ( ! is_array( $format ) ) {
        $format = array_fill( 0, count( $data ), $format );
    }

    $i = 0;
    foreach ( $data as $field => $value ) {
        if ( ! isset( $format[ $i ] ) ) {
            $format[ $i ] = '%s';
        }
        $fields[] = "`$field` = " . $format[ $i ];
        $i++;
    }

    $fields = implode( ', ', $fields );

    $conditions = array();
    $where_values = array_values( $where );
    $where_formats = $where_format;

    if ( ! is_array( $where_format ) ) {
        $where_format = array_fill( 0, count( $where ), $where_format );
    }

    $i = 0;
    foreach ( $where as $field => $value ) {
        if ( ! isset( $where_format[ $i ] ) ) {
            $where_format[ $i ] = '%s';
        }
        $conditions[] = "`$field` = " . $where_format[ $i ];
        $i++;
    }

    $conditions = implode( ' AND ', $conditions );

    $sql = "UPDATE `$table` SET $fields WHERE $conditions";

    $values = array_merge( $values, $where_values );

    $sql = $this->prepare( $sql, $values );

    if ( ! $this->dbh ) {
        return false;
    }

    if ( defined( 'SAVEQUERIES' ) && SAVEQUERIES ) {
        $this->queries[] = $sql;
        $this->query_times[] = timer_stop();
    }

    $result = $this->query( $sql );

    return $result;
}

同样地，prepare() 方法在这里扮演着关键角色。它将 SQL 语句和数据合并，并进行必要的转义。

prepare() 方法：安全卫士

prepare() 方法是 wpdb 类中防止 SQL 注入的核心。它使用了预处理语句的思想，将 SQL 语句和数据分开处理。

public function prepare( $query, ...$args ) {
    if ( is_null( $query ) ) {
        return;
    }

    $args = func_get_args();
    array_shift( $args );

    if ( is_array( $args[0] ) ) {
        $args = $args[0];
    }

    $query = str_replace( "'%s'", '%s', $query ); // strip any existing single quotes
    $query = str_replace( '"%s"', '%s', $query ); // strip any existing double quotes
    $query = str_replace( "'%d'", '%d', $query ); // strip any existing single quotes
    $query = str_replace( '"%d"', '%d', $query ); // strip any existing double quotes
    $query = str_replace( "'%f'", '%f', $query ); // strip any existing single quotes
    $query = str_replace( '"%f"', '%f', $query ); // strip any existing double quotes

    $bits = preg_split( '/(%s|%d|%f)/', $query, -1, PREG_SPLIT_DELIM_CAPTURE );
    $query = '';

    $i = 0;
    $num_args = count( $args );
    foreach ( $bits as $bit ) {
        if ( empty( $bit ) ) {
            continue;
        }

        if ( isset( $args[ $i ] ) || ( strpos( $bit, '%' ) !== false && is_numeric( $args[ $i - 1 ] ) ) ) {
            if ( '%s' === $bit ) {
                if ( ! isset( $args[ $i ] ) ) {
                    $query .= '%s';
                } else {
                    $query .= "'" . esc_sql( $args[ $i ] ) . "'";
                }
            } elseif ( '%d' === $bit ) {
                if ( ! isset( $args[ $i ] ) ) {
                    $query .= '%d';
                } else {
                    $query .= intval( $args[ $i ] );
                }
            } elseif ( '%f' === $bit ) {
                if ( ! isset( $args[ $i ] ) ) {
                    $query .= '%f';
                } else {
                    $query .= floatval( $args[ $i ] );
                }
            } else {
                $query .= $bit;
            }
            $i++;
        } else {
            $query .= $bit;
        }
    }

    if ( $i < $num_args ) {
        /* translators: %d: Number of placeholders, %d: Number of arguments. */
        $this->trigger_error( sprintf( __( 'Too few placeholders (%1$d) were specified in the query string, %2$d arguments were passed instead.' ), substr_count( $query, '%' ), $num_args ), E_USER_WARNING );
    }

    return $query;
}

prepare() 方法的主要步骤如下：

分割 SQL 语句: 使用正则表达式将 SQL 语句分割成多个部分，包括占位符（%s、%d、%f）和非占位符。
循环处理: 遍历分割后的 SQL 语句片段。
- 如果是占位符: 根据占位符的类型（%s、%d、%f），对对应的数据进行转义或类型转换。
  - %s: 使用 esc_sql() 函数对字符串进行转义。
  - %d: 使用 intval() 函数将数据转换为整数。
  - %f: 使用 floatval() 函数将数据转换为浮点数。
- 如果不是占位符: 直接将该片段添加到最终的 SQL 语句中。
合并: 将处理后的 SQL 语句片段合并成最终的 SQL 语句。

esc_sql() 方法：终极转义

esc_sql() 函数是 WordPress 中用于转义字符串的关键函数，用于防止 SQL 注入攻击。它添加反斜杠到以下字符：x00, n, r, , ', " and x1a。

function esc_sql( $data ) {
    global $wpdb;

    return $wpdb->_real_escape( $data );
}

实际上调用了wpdb 的 _real_escape 方法，最终使用了数据库连接的转义方法，例如 mysqli_real_escape_string。

安全建议和最佳实践

始终使用 prepare() 方法: 这是防止 SQL 注入的最有效方法。不要手动拼接 SQL 语句。
使用正确的格式化字符串: 确保 $format 和 $where_format 数组与 $data 和 $where 数组中的数据类型匹配。
不要信任用户输入: 永远不要直接将用户输入插入到 SQL 语句中，即使你使用了 prepare() 方法。验证和过滤用户输入仍然很重要。
保持 WordPress 更新: WordPress 核心和插件会定期发布安全更新，确保你的站点保持最新状态。
使用 Web 应用防火墙 (WAF): WAF 可以帮助阻止恶意请求，包括 SQL 注入攻击。

总结

wpdb 类的 insert() 和 update() 方法通过使用 prepare() 方法和 esc_sql() 函数来构建安全的 SQL 语句，有效地防止了 SQL 注入攻击。然而，安全是一个持续的过程。开发者应该始终牢记安全最佳实践，并不断学习新的安全技术。

方法	主要功能	安全机制
`insert()`	向数据库表中插入数据	`prepare()` 方法进行参数化查询和转义
`update()`	更新数据库表中的数据	`prepare()` 方法进行参数化查询和转义
`prepare()`	将 SQL 语句和数据分开处理，防止 SQL 注入	使用占位符和 `esc_sql()` 函数进行转义
`esc_sql()`	对字符串进行转义，防止 SQL 注入	添加反斜杠到特殊字符

举例说明

假设我们有一个用户表 wp_users，包含 ID、user_login 和 user_email 字段。

不安全的插入方式 (不要这样做!)

global $wpdb;
$username = $_POST['username']; // 假设用户输入了 "'; DROP TABLE wp_users; --"
$email = $_POST['email'];

$sql = "INSERT INTO wp_users (user_login, user_email) VALUES ('$username', '$email')";
$wpdb->query($sql); // 非常危险！

这段代码存在严重的 SQL 注入风险。如果用户在 username 字段中输入了 ' OR '1'='1，那么 SQL 语句就会变成：

INSERT INTO wp_users (user_login, user_email) VALUES ('' OR '1'='1', '$email')

这会导致所有用户都可以登录。更糟糕的是，如果用户输入了 '; DROP TABLE wp_users; --，那么整个 wp_users 表都会被删除！

安全的插入方式

global $wpdb;
$username = $_POST['username'];
$email = $_POST['email'];

$table_name = $wpdb->prefix . 'users'; // 确保表名前缀正确

$wpdb->insert(
    $table_name,
    array(
        'user_login' => $username,
        'user_email' => $email,
    ),
    array(
        '%s',
        '%s',
    )
);

或者使用 prepare 方法：

global $wpdb;
$username = $_POST['username'];
$email = $_POST['email'];

$table_name = $wpdb->prefix . 'users'; // 确保表名前缀正确

$sql = $wpdb->prepare(
    "INSERT INTO `$table_name` (user_login, user_email) VALUES (%s, %s)",
    $username,
    $email
);

$wpdb->query($sql);

这两种方式都是安全的，因为 wpdb 会自动对 $username 和 $email 进行转义，防止恶意代码注入。

问答环节

现在，欢迎大家提问，我会尽力解答。别客气，有什么不懂的尽管问！

(等待观众提问… )

(如果没人提问)

看来大家对 SQL 注入的安全问题已经理解得很透彻了。记住，安全无小事，永远不要掉以轻心。祝大家写出安全可靠的 WordPress 代码！下次再见！

发表回复 取消回复

发表回复取消回复