深入解读 WordPress `wpdb::prepare()` 方法源码：SQL 占位符替换与安全防注入。 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

大家好，我是你们的老朋友，今天咱们来聊聊 WordPress 里一个非常重要，但又经常被大家忽略的家伙：wpdb::prepare()。别看它名字平平无奇，其实它可是 WordPress 数据库安全的一道重要防线，是抵御 SQL 注入攻击的利器。咱们今天就来扒一扒它的源码，看看它到底是怎么工作的，顺便也给大家伙儿讲讲如何正确地使用它。

开场白：SQL 注入的恐怖故事

在深入 wpdb::prepare() 之前，咱们先来听个恐怖故事。想象一下，你的 WordPress 网站辛辛苦苦运营了几年，积累了大量的用户数据。有一天，突然发现数据库里的内容被人篡改了，甚至整个网站都被黑客控制了。原因是啥？很可能就是因为 SQL 注入！

SQL 注入简单来说，就是攻击者通过在用户输入中插入恶意的 SQL 代码，让数据库执行一些非法的操作。比如，未经授权地读取、修改甚至删除数据。

举个栗子：

假设你的网站有个登录表单，你用以下代码来验证用户名和密码：

$username = $_POST['username'];
$password = $_POST['password'];

$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = $wpdb->query($sql);

这段代码看起来没啥问题，但如果攻击者在 username 字段里输入 admin' OR '1'='1，那么 SQL 语句就会变成：

SELECT * FROM users WHERE username = 'admin' OR '1'='1' AND password = '$password'

由于 1=1 永远为真，攻击者就可以绕过用户名和密码验证，直接登录到 admin 账户。细思极恐啊！

wpdb::prepare()：你的 SQL 保镖

为了避免这种恐怖的事情发生，WordPress 提供了 wpdb::prepare() 方法。它的作用就是对 SQL 语句进行预处理，将用户输入的数据进行转义，防止 SQL 注入。

简单来说，wpdb::prepare() 就像一个 SQL 保镖，负责把那些试图混入 SQL 语句的“坏家伙”给抓起来，让他们无法搞破坏。

wpdb::prepare() 的基本用法

wpdb::prepare() 的基本用法如下：

$sql = $wpdb->prepare(
    "SELECT * FROM users WHERE username = %s AND email = %s",
    $username,
    $email
);

$results = $wpdb->get_results($sql);

$wpdb->prepare() 接收两个参数：
- 第一个参数是一个带有占位符的 SQL 语句。
- 第二个参数以及之后的参数，是要替换到占位符中的数据。
wpdb::prepare() 会自动对这些数据进行转义，确保它们不会被当作 SQL 代码执行。
常用的占位符有以下几种：

占位符描述

%s 字符串 (string)

%d 整数 (integer)

%f 浮点数 (float)

%b 二进制数据 (binary data)

%% 插入一个百分号 (%)

占位符	描述
`%s`	字符串 (string)
`%d`	整数 (integer)
`%f`	浮点数 (float)
`%b`	二进制数据 (binary data)
`%%`	插入一个百分号 (%)

深入 wpdb::prepare() 源码

光说不练假把式，咱们现在就来扒一扒 wpdb::prepare() 的源码，看看它到底是怎么工作的。

wpdb::prepare() 方法位于 wp-includes/wp-db.php 文件中。咱们简化一下，只保留核心代码：

public function prepare( $query, ...$args ) {
    if ( is_null( $query ) ) {
        return null;
    }

    $args = func_get_args();
    array_shift( $args );

    // If the query is using named placeholders, we can just use vsprintf
    if ( strpos( $query, ':' ) !== false ) {
        if ( ! is_array( $args[0] ) ) {
            return $query; // Named placeholders require an array.
        }

        $replacements = $args[0];
        $query = str_replace(
            array_keys( $replacements ),
            array_map( array( $this, 'esc_by_placeholder' ), array_values( $replacements ), array_keys( $replacements ) ),
            $query
        );

        return $query;
    }

    // If there is nothing to prepare we might as well not spend the cycles on it.
    if ( strpos( $query, '%' ) === false ) {
        return $query;
    }

    $num_args = count( $args );
    $query = str_replace( '%', '%%', $query );
    $query_length = strlen( $query );
    $offset = 0;
    $i = 0;
    while ( $i < $num_args ) {
        $placeholder = strpos( $query, '%', $offset );
        if ( false === $placeholder ) {
            break;
        }

        $type = substr( $query, $placeholder + 1, 1 );
        if ( 's' === $type ) {
            $query = substr_replace( $query, "'" . $this->_real_escape( $args[ $i ] ) . "'", $placeholder, 2 );
            $offset = $placeholder + strlen( $args[ $i ] ) + 2;
        } elseif ( 'd' === $type ) {
            $query = substr_replace( $query, intval( $args[ $i ] ), $placeholder, 2 );
            $offset = $placeholder + strlen( strval( $args[ $i ] ) );
        } elseif ( 'f' === $type ) {
            $query = substr_replace( $query, floatval( $args[ $i ] ), $placeholder, 2 );
            $offset = $placeholder + strlen( strval( $args[ $i ] ) );
        } elseif ( 'b' === $type ) {
            $query = substr_replace( $query, "'" . bin2hex( $args[ $i ] ) . "'", $placeholder, 2 );
            $offset = $placeholder + strlen( $args[ $i ] ) * 2 + 2;
        } else {
            $offset = $placeholder + 1;
            $i--; // Invalid placeholder. Reset $i to process it in the next iteration.
        }

        $i++;
    }

    return $query;
}

咱们来逐行解读一下：

参数处理：
- func_get_args() 获取所有传递给 prepare() 的参数，包括 SQL 语句和要替换的数据。
- array_shift( $args ) 移除第一个参数 (SQL 语句)，剩下的就是需要转义的数据。
命名占位符处理
- 检查 SQL 语句中是否存在命名占位符 (:placeholder)。如果存在，则使用 str_replace 和 array_map 替换占位符。
- esc_by_placeholder 函数根据占位符的类型执行相应的转义。
没有占位符的情况
- 如果 SQL 语句中没有占位符 (%)，则直接返回原始 SQL 语句，避免不必要的处理。
循环替换占位符：
- str_replace( '%', '%%', $query ) 首先将 SQL 语句中的所有 % 替换为 %%，防止 % 被误认为是占位符。
- 进入一个循环，遍历所有的占位符。
- strpos( $query, '%', $offset ) 查找下一个占位符的位置。
- substr( $query, $placeholder + 1, 1 ) 获取占位符的类型 (例如 s, d, f)。
- 根据占位符的类型，对数据进行相应的转义和替换：
  - %s (字符串)：使用 $this->_real_escape() 对字符串进行转义，并用单引号括起来。
  - %d (整数)：使用 intval() 将数据转换为整数。
  - %f (浮点数)：使用 floatval() 将数据转换为浮点数。
  - %b (二进制数据)：使用 bin2hex() 将数据转换为十六进制字符串，并用单引号括起来。
- substr_replace() 将占位符替换为转义后的数据。
- 更新 $offset，以便查找下一个占位符。
返回结果：
- 循环结束后，返回替换完成的 SQL 语句。

_real_escape()：字符串转义的核心

在 wpdb::prepare() 中，_real_escape() 函数是字符串转义的核心。它的作用是对字符串中的特殊字符进行转义，防止 SQL 注入。

_real_escape() 函数的实现依赖于数据库连接使用的字符集。如果数据库连接使用了 mysqli 扩展，那么 _real_escape() 函数会调用 mysqli_real_escape_string() 函数来进行转义。如果数据库连接使用了其他的扩展，那么 _real_escape() 函数会使用其他相应的转义函数。

总而言之，_real_escape() 函数会确保字符串中的以下字符被转义：

x00
n
r
'
"
x1a

正确使用 wpdb::prepare() 的姿势

现在咱们已经了解了 wpdb::prepare() 的原理，接下来咱们来聊聊如何正确地使用它。

永远不要直接将用户输入的数据拼接到 SQL 语句中。 这是 SQL 注入的罪魁祸首！
使用 wpdb::prepare() 对 SQL 语句进行预处理。 这是防止 SQL 注入的最佳实践。
根据数据的类型选择正确的占位符。 例如，字符串使用 %s，整数使用 %d，浮点数使用 %f。
不要在 wpdb::prepare() 中使用任何 SQL 函数。 例如，不要在 wpdb::prepare() 中使用 MD5() 函数来加密密码。应该先在 PHP 代码中对数据进行处理，然后再将处理后的数据传递给 wpdb::prepare()。
尽量使用命名占位符 (:placeholder)，使代码更易读。

错误示范：

// 错误的做法：直接拼接字符串
$username = $_POST['username'];
$sql = "SELECT * FROM users WHERE username = '$username'";

// 错误的做法：在 wpdb::prepare() 中使用 SQL 函数
$password = md5($_POST['password']);
$sql = $wpdb->prepare("SELECT * FROM users WHERE password = MD5(%s)", $password);

正确示范：

// 正确的做法：使用 wpdb::prepare() 和正确的占位符
$username = $_POST['username'];
$email = $_POST['email'];
$sql = $wpdb->prepare(
    "SELECT * FROM users WHERE username = %s AND email = %s",
    $username,
    $email
);

// 正确的做法：先在 PHP 代码中处理数据，然后再传递给 wpdb::prepare()
$password = md5($_POST['password']);
$sql = $wpdb->prepare(
    "SELECT * FROM users WHERE password = %s",
    $password
);

// 正确的做法：使用命名占位符
$username = $_POST['username'];
$email = $_POST['email'];
$sql = $wpdb->prepare(
    "SELECT * FROM users WHERE username = :username AND email = :email",
    array(
        'username' => $username,
        'email'    => $email,
    )
);

总结

wpdb::prepare() 是 WordPress 数据库安全的重要组成部分。它可以有效地防止 SQL 注入攻击，保护你的网站数据安全。记住，永远不要直接将用户输入的数据拼接到 SQL 语句中，一定要使用 wpdb::prepare() 对 SQL 语句进行预处理。只有这样，才能让你的网站远离 SQL 注入的威胁。

最后，送给大家一句话：安全第一，预防为主！

希望今天的讲座对大家有所帮助。如果大家还有什么问题，欢迎随时提问。咱们下期再见！

发表回复 取消回复

发表回复取消回复