如何防止Wordpress中的SQL注入？

Question

我目前使用以下查詢來獲取mysql中使用php的值：

代碼正在工作，但現在我擔心sql注入。

如何防止SQL注入？

<?php include_once("wp-config.php"); 
@$gameid = $_GET['gameid']; 

global $wpdb; 
$fivesdrafts = $wpdb->get_results( 
    " 
    SELECT ID 
    FROM $wpdb->posts 
    WHERE ID = ".$gameid." 

    " 
); 
?> 

這是安全嗎？

<?php include_once("wp-config.php"); 
@$gameid = mysql_real_escape_string($_GET['gameid']); 

global $wpdb; 
$fivesdrafts = $wpdb->get_results(
$wpdb->prepare(
    " 
    SELECT ID 
    FROM $wpdb->posts 
    WHERE ID = %d", ".$gameid.") 
); 
?> 

Answer 1

從WordPress Codex on protecting queries against SQL Injection attacks：

<?php $sql = $wpdb->prepare('query' , value_parameter[, value_parameter ... ]); ?> 

如果進一步向下滾動了一下，有examples。

你也應該閱讀database validation docs對SQL的在WordPress逃逸更徹底的概述。