在将用户输入存储到数据库中时，一个好的方法是：

1. Data validation: 根据预期数据验证数据。例如：HTML字符串、数字、电子邮件、URL、任何没有HTML的文本等。永远不要信任用户输入或客户端验证。您也可以在这里进行一些清理，但它不能替代数据验证，也不能替代数据扫描
2. SQL escape: 我想这里不需要解释。WorPress提供了一些函数和方法来执行此操作。esc_sql 是准备用于数据库查询的字符串的常规函数。但如果您使用wpdb类，则并不总是需要。例如，如果使用$wpdb->insert 和$wpdb->update 数据不应被替换，因为它将为您完成

安全地将数据插入WPDB的示例。它是防止sql注入的预处理方法。首先创建表单，然后按照以下结构插入数据。Example:

$insert_value_array = array(
    \'input\' => \'\',      // name of your input field
    \'textarea\' => \'\',   // field name
    \'select\' => \'\',     // field name
    \'checkbox\' => \'\',   // field name
);

$form_item = shortcode_atts( $insert_value_array, $_REQUEST );

if(isset($_POST[\'submit\'])){

    global $wpdb;

    $full_table_name = $wpdb->prefix . \'your_table_name\';

    // $wpdb->insert( $full_table_name, $form_item); // It\'s without prepare method

 // Safe data insertion with prepare method ( successful )
    $wpdb->query( $wpdb->prepare( 
                "   INSERT INTO $full_table_name
                    ( column_name_1, column_name_2, column_name_3, column_name_4 )
                    VALUES ( %s, %s, %s, %s ) 
                ", // VALUES depends on your datatype. %s for string, %d for integer
                    $form_item
            ) );

};