发布于 由admin

详解 WordPress `wpdb` 类源码：`query()`、`get_var()` 等方法的区别与应用。

各位观众老爷，早上好/下午好/晚上好！欢迎来到今天的WordPress wpdb 类源码解析专场。今天咱们不整虚的，直接上干货，扒一扒 wpdb 这个WordPress数据库操作的核心类，特别是它的几个常用方法：query()、get_var()、get_row()、get_col()和get_results()，看看它们到底有啥区别，又该怎么用才能不踩坑。

开场白：wpdb 是个啥？

简单来说，wpdb 就是 WordPress 提供的数据库操作类。它封装了各种数据库操作函数，让你不用直接写复杂的 SQL 语句，也能轻松地从 WordPress 数据库里读取数据，或者往里面写数据。想象一下，wpdb 就像是一个万能遥控器，你可以用它来控制电视（数据库）的各种功能，比如换台（查询）、调音量（更新数据）等等。

wpdb 的初始化

在 WordPress 中，wpdb 类已经被全局化，你可以通过 $wpdb 变量来访问它。 通常不需要手动初始化。

global $wpdb;

// 现在你可以使用 $wpdb 对象了

核心方法大比拼：query()、get_var()、get_row()、get_col()和get_results()

这几个方法是 wpdb 类中最常用的，也是最容易让人迷惑的。 别着急，咱们一个一个来捋清楚。

1. query()：老大哥，什么都能干，但也最容易出错

query() 方法是 wpdb 类中最原始、最基础的方法。 它可以执行任何 SQL 语句，包括 SELECT、INSERT、UPDATE、DELETE 等等。

  • 返回值：

    • 成功执行 SELECT 查询时，返回受影响的行数（通常是 true，但最好不要依赖这个返回值）。
    • 成功执行 INSERT、UPDATE、DELETE 查询时，返回受影响的行数。
    • 执行失败时，返回 false。

  • 使用场景：

    • 执行任何类型的 SQL 语句。
    • 当你需要执行复杂的 SQL 语句，而其他方法无法满足需求时。
    • 当你需要自己处理查询结果时。

  • 示例：

    global $wpdb;

// 创建一个自定义表（不推荐，但为了演示query()的强大）
$table_name = $wpdb->prefix . 'my_custom_table';
$sql = "CREATE TABLE IF NOT EXISTS $table_name (
    id mediumint(9) NOT NULL AUTO_INCREMENT,
    time datetime DEFAULT '0000-00-00 00:00:00' NOT NULL,
    name tinytext NOT NULL,
    text text NOT NULL,
    PRIMARY KEY  (id)
);";

$wpdb->query($sql); // 创建表

// 插入数据
$wpdb->query("INSERT INTO {$table_name} (time, name, text) VALUES (NOW(), 'John Doe', 'This is a test.')");

// 查询数据
$results = $wpdb->query("SELECT * FROM {$table_name}");

// 删除表（再次强调，不推荐，但为了演示）
$wpdb->query("DROP TABLE IF EXISTS {$table_name}");

if ($results === false) {
    // 查询失败
    echo '查询失败：' . $wpdb->last_error;
} else {
    // 查询成功，但query()返回的是影响的行数，需要配合其他方法获取数据
    echo '查询成功，影响的行数：' . $results; //输出影响行数，例如1
}

  • 注意事项：

    • query() 方法是直接执行 SQL 语句，所以你需要自己处理 SQL 注入的风险。 务必使用 $wpdb->prepare() 方法来预处理 SQL 语句，防止 SQL 注入。
    • query() 方法的返回值并不总是可靠的。 对于 SELECT 查询，它只返回受影响的行数，而不是查询结果。 你需要使用其他方法来获取查询结果。
    • 尽量避免直接使用 query() 方法，除非你真的需要执行非常复杂的 SQL 语句。 优先使用其他更方便、更安全的方法。

2. get_var()：小而精，只取一个值

get_var() 方法用于从数据库中获取单个变量的值。 它只返回查询结果的第一行第一列的值。

  • 返回值：

    • 成功时，返回查询结果的第一行第一列的值。
    • 失败时，返回 null。

  • 使用场景：

    • 当你只需要获取一个值时，例如查询某个用户的数量、获取某个文章的标题等等。

  • 示例：

    global $wpdb;

// 获取文章总数
$total_posts = $wpdb->get_var("SELECT COUNT(*) FROM {$wpdb->posts} WHERE post_status = 'publish'");
echo "文章总数： " . $total_posts;

// 获取最新的文章标题
$latest_post_title = $wpdb->get_var("SELECT post_title FROM {$wpdb->posts} ORDER BY post_date DESC LIMIT 1");
echo "最新文章标题： " . $latest_post_title;

// 安全地获取文章ID (使用 $wpdb->prepare() 防御SQL注入)
$post_id = 10;
$post_title = $wpdb->get_var($wpdb->prepare("SELECT post_title FROM {$wpdb->posts} WHERE ID = %d", $post_id));
echo "文章ID为 {$post_id} 的文章标题： " . $post_title;

  • 注意事项：

    • get_var() 方法只返回一个值，如果查询结果有多行多列，它只会返回第一行第一列的值。
    • 务必使用 $wpdb->prepare() 方法来预处理 SQL 语句，防止 SQL 注入。

3. get_row()：一行搞定，返回对象或数组

get_row() 方法用于从数据库中获取一行数据。 它可以返回一个对象或一个数组，具体取决于你指定的 output_type 参数。

  • 返回值：

    • OBJECT (默认)：返回一个对象，对象的属性对应于查询结果的列名。
    • ARRAY_A：返回一个关联数组，数组的键对应于查询结果的列名。
    • ARRAY_N：返回一个索引数组，数组的索引对应于查询结果的列的索引。
    • 没有结果时，返回 null。

  • 使用场景：

    • 当你需要获取一行数据的所有字段时，例如获取某个用户的详细信息、获取某个文章的内容等等。

  • 示例：

    global $wpdb;

// 获取 ID 为 1 的文章的信息，返回对象
$post = $wpdb->get_row("SELECT * FROM {$wpdb->posts} WHERE ID = 1");

if ($post) {
    echo "文章标题： " . $post->post_title;
    echo "文章内容： " . $post->post_content;
} else {
    echo "没有找到文章";
}

// 获取 ID 为 2 的文章的信息，返回关联数组
$post_array = $wpdb->get_row("SELECT * FROM {$wpdb->posts} WHERE ID = 2", ARRAY_A);

if ($post_array) {
    echo "文章标题： " . $post_array['post_title'];
    echo "文章内容： " . $post_array['post_content'];
} else {
    echo "没有找到文章";
}

// 安全地获取文章信息 (使用 $wpdb->prepare() 防御SQL注入)
$post_id = 3;
$post = $wpdb->get_row($wpdb->prepare("SELECT * FROM {$wpdb->posts} WHERE ID = %d", $post_id));

if ($post) {
    echo "文章标题： " . $post->post_title;
    echo "文章内容： " . $post->post_content;
} else {
    echo "没有找到文章";
}

  • 注意事项：

    • get_row() 方法只返回一行数据，如果查询结果有多行，它只会返回第一行数据。
    • 务必使用 $wpdb->prepare() 方法来预处理 SQL 语句，防止 SQL 注入。
    • 根据你的需求选择合适的 output_type 参数。 如果你更喜欢使用对象的方式访问数据，就选择 OBJECT。 如果你更喜欢使用数组的方式访问数据，就选择 ARRAY_A 或 ARRAY_N。

4. get_col()：一列在手，天下我有

get_col() 方法用于从数据库中获取一列数据。 它返回一个数组，数组的元素对应于查询结果的列的值。

  • 返回值：

    • 返回一个数组，数组的元素对应于查询结果的列的值。
    • 没有结果时，返回一个空数组。

  • 使用场景：

    • 当你只需要获取一列数据时，例如获取所有文章的标题、获取所有用户的 ID 等等。

  • 示例：

    global $wpdb;

// 获取所有文章的标题
$post_titles = $wpdb->get_col("SELECT post_title FROM {$wpdb->posts} WHERE post_status = 'publish'");

foreach ($post_titles as $title) {
    echo "文章标题： " . $title . "<br>";
}

// 获取所有用户的 ID
$user_ids = $wpdb->get_col("SELECT ID FROM {$wpdb->users}");

foreach ($user_ids as $id) {
    echo "用户 ID： " . $id . "<br>";
}

// 安全地获取特定文章类型的标题 (使用 $wpdb->prepare() 防御SQL注入)
$post_type = 'page';
$page_titles = $wpdb->get_col($wpdb->prepare("SELECT post_title FROM {$wpdb->posts} WHERE post_type = %s", $post_type));

foreach ($page_titles as $title) {
    echo "页面标题： " . $title . "<br>";
}

  • 注意事项：

    • get_col() 方法只返回一列数据，如果查询结果有多列，它只会返回第一列数据。
    • 务必使用 $wpdb->prepare() 方法来预处理 SQL 语句，防止 SQL 注入。

5. get_results()：批量获取，数据尽收眼底

get_results() 方法用于从数据库中获取多行数据。 它可以返回一个对象数组、一个关联数组数组或一个索引数组数组，具体取决于你指定的 output_type 参数。

  • 返回值：

    • OBJECT (默认)：返回一个对象数组，数组的每个元素都是一个对象，对象的属性对应于查询结果的列名。
    • ARRAY_A：返回一个关联数组数组，数组的每个元素都是一个关联数组，数组的键对应于查询结果的列名。
    • ARRAY_N：返回一个索引数组数组，数组的每个元素都是一个索引数组，数组的索引对应于查询结果的列的索引。
    • 没有结果时，返回一个空数组。

  • 使用场景：

    • 当你需要获取多行数据的所有字段时，例如获取所有文章的信息、获取所有用户的详细信息等等。

  • 示例：

    global $wpdb;

// 获取所有文章的信息，返回对象数组
$posts = $wpdb->get_results("SELECT * FROM {$wpdb->posts} WHERE post_status = 'publish'");

foreach ($posts as $post) {
    echo "文章标题： " . $post->post_title . "<br>";
    echo "文章内容： " . $post->post_content . "<br><br>";
}

// 获取所有文章的信息，返回关联数组数组
$posts_array = $wpdb->get_results("SELECT * FROM {$wpdb->posts} WHERE post_status = 'publish'", ARRAY_A);

foreach ($posts_array as $post) {
    echo "文章标题： " . $post['post_title'] . "<br>";
    echo "文章内容： " . $post['post_content'] . "<br><br>";
}

// 安全地获取特定作者的文章 (使用 $wpdb->prepare() 防御SQL注入)
$author_id = 1;
$author_posts = $wpdb->get_results($wpdb->prepare("SELECT * FROM {$wpdb->posts} WHERE post_author = %d", $author_id));

foreach ($author_posts as $post) {
    echo "文章标题： " . $post->post_title . "<br>";
    echo "文章内容： " . $post->post_content . "<br><br>";
}

  • 注意事项：

    • 务必使用 $wpdb->prepare() 方法来预处理 SQL 语句，防止 SQL 注入。
    • 根据你的需求选择合适的 output_type 参数。 如果你更喜欢使用对象的方式访问数据，就选择 OBJECT。 如果你更喜欢使用数组的方式访问数据，就选择 ARRAY_A 或 ARRAY_N。

方法对比总结

为了方便大家理解，我把这几个方法的主要区别整理成一个表格：

方法 返回值 适用场景 是否需要 $wpdb->prepare()
query() 受影响的行数（SELECT 查询时通常是 true，但不可靠）, 或者 false (失败) 执行任何类型的 SQL 语句，需要自己处理查询结果，执行复杂 SQL。 强烈建议
get_var() 单个变量的值 (第一行第一列)，失败时返回 null 获取单个值，例如文章总数、最新文章标题等。 强烈建议
get_row() 一行数据，返回对象 (OBJECT)、关联数组 (ARRAY_A) 或索引数组 (ARRAY_N)，没有结果时返回 null 获取一行数据的所有字段，例如用户详细信息、文章内容等。 强烈建议
get_col() 一列数据，返回一个数组，数组的元素对应于查询结果的列的值，没有结果时返回空数组。 获取一列数据，例如所有文章的标题、所有用户的 ID 等。 强烈建议
get_results() 多行数据，返回一个对象数组 (OBJECT)、关联数组数组 (ARRAY_A) 或索引数组数组 (ARRAY_N)，没有结果时返回空数组。 获取多行数据的所有字段，例如所有文章的信息、所有用户的详细信息等。 强烈建议

重点强调：SQL 注入的防范

无论你使用哪个方法，都必须使用 $wpdb->prepare() 方法来预处理 SQL 语句，防止 SQL 注入。 SQL 注入是一种常见的网络攻击方式，攻击者可以通过构造恶意的 SQL 语句来获取、修改或删除你的数据库中的数据。

global $wpdb;

$username = 'admin'; // 危险！直接拼接字符串可能导致 SQL 注入

// 正确的做法：使用 $wpdb->prepare()
$safe_username = $wpdb->prepare('%s', $username); // 使用 prepare 对字符串进行转义
$user = $wpdb->get_row($wpdb->prepare("SELECT * FROM {$wpdb->users} WHERE user_login = %s", $username));

if ($user) {
    echo "欢迎， " . $user->user_login;
} else {
    echo "用户不存在";
}

$wpdb->prepare() 方法的原理是将 SQL 语句和参数分开处理，然后将参数进行转义，防止参数中的特殊字符破坏 SQL 语句的结构。

总结：选择合适的方法，安全第一

wpdb 类提供了多种数据库操作方法，你可以根据你的需求选择合适的方法。 记住，query() 方法是最原始、最基础的方法，但也最容易出错。 优先使用其他更方便、更安全的方法，例如 get_var()、get_row()、get_col() 和 get_results()。 无论你使用哪个方法，都必须使用 $wpdb->prepare() 方法来预处理 SQL 语句，防止 SQL 注入。

今天的讲座就到这里了。 希望大家通过今天的学习，能够更好地理解和使用 wpdb 类，写出更安全、更高效的 WordPress 代码。 感谢大家的观看！ 咱们下期再见！

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注