为了使这项工作顺利进行，您需要做一些不同的事情。

确保正在设置$wpdb 到全球使用$wpdb->prefix 而不是硬编码wp_.

使用$wpdb->prepare()

在执行SQL查询之前，必须对SQL查询中的所有数据进行SQL转义，以防止SQL注入攻击。prepare方法为WordPress执行此功能，它支持类似sprintf（）和vsprintf（）的语法。

sprintf 与大多数函数的调用略有不同。就像array_merge(), 你想说多少就说多少。

首先，指定SQL语句：

$wpdb->prepare( 
    "SELECT rating 
    FROM {$wpdb->prefix}ratings 
    WHERE comment_id = ( 
        SELECT comment_ID 
        FROM {$wpdb->comments} 
        WHERE comment_post_ID = %d 
    )", get_the_ID() )

接下来，按照预期参数在SQL语句中的显示顺序添加这些参数。由于本声明中只有一个，我们添加get_the_ID() 在SQL语句之后。

把它们放在一起

global $wpdb;
$my_query = $wpdb->get_results( 
    $wpdb->prepare( 
        "SELECT rating 
        FROM {$wpdb->prefix}ratings 
        WHERE comment_id = ( 
            SELECT comment_ID 
            FROM {$wpdb->comments} 
            WHERE comment_post_ID = %d 
        )", 
    get_the_ID() ) 
);