Wordpressで準備されたクエリを実行する必要がありますか？

Question

簡単な質問 - 私はWordpressの中でこの種のクエリを実行する場合はことを理解し実行します。

SELECT * FROM tableA WHERE variable1 = $var1 

...その後、私はそうのように、「準備」を使用する必要があります。

$my_query = $wpdb->get_results($wpdb->prepare("SELECT * FROM tableA 
WHERE variable1 = %s", $var1)); 

しかし、私が代わりにクエリのこのタイプをしたいとき：

• は、列
• とNOT変数を使用して上の2つのテーブルを結合します
このような

：

SELECT * FROM tableA, tableB WHERE tableA.some_col = tableB.some_other_col 

... I 'べきです'：

1. は依然としてSQLインジェクション

2. かであるから保護するために文を '準備' のいくつかのフォームを使用します次のようにしてください。

   $my_query = $wpdb->get_results("SELECT * FROM tableA, tableB WHERE 
   tableB.some_col = tableB.some_other_col"); 
   

Answer 1

誰でもこのコードをSQLインジェクションに使用する方法がないため、そこでは準備文を用意する必要はありません。

あなたはちょうどあなたが準備された文を忘れることができます任意の変数を与えることなく二つのテーブルからすべてを選択した場合は、

Answer 2

を:)私はあなたが

$ wpdb->が

を準備

にこだわるべきだと思います

を使用して、クエリに渡すパラメータを偽装していない場合でも、 これを行う理由はいくつかあります。

1. これはベストプラクティスです。
2. 一貫性。すべてのクエリで同じアプローチを使用する場合は、
3. 将来、このクエリにパラメータを渡す必要がある場合は、より簡単になります。

あなたが任意のパラメータを渡していない場合は、ユーザー入力がデータベースに触れる機会がないので、プリペアドステートメントを使用する必要はありませんここにShould I use wpdb prepare?