Pregătirea interogărilor SQL cu $wpdb->prepare în WordPress în WordPress

Prevenirea SQL Injection cu $wpdb->prepare()

Nu concatenați niciodată variabile externe direct în interogări SQL ("WHERE id = $id"). Metoda $wpdb->prepare() utilizează specificatori de tip stil printf:

• %d: pentru numere întregi (integers).
• %f: pentru numere reale cu virgulă (floats).
• %s: pentru șiruri de caractere (strings) – adaugă automat ghilimelele și escapează caracterele periculoase.

<?php
global $wpdb;
$id_client = intval($_GET['id']);
$email = sanitize_email($_GET['email']);

$interogare = $wpdb->prepare(
    "SELECT * FROM {$wpdb->prefix}clienti WHERE id = %d AND email = %s",
    $id_client,
    $email
);
$rezultate = $wpdb->get_results($interogare);
?>