情况就是这样。我们允许用户输入输入数据，即user\\u first\\u name和user\\u additional\\u注释。然后我们使用sanitize\\u text\\u field（），它被命名为save。
但在此过滤器之后：
Thomas\' OR SELECT * FROM wp_user
仍以全文形式保存到数据库中。和
\' 字符未转义为
' 或
\\\'.
我使用$wpdb->query("INSERT INTO A (a,b,c) VALUES (\'{$a}\', \'{$b}\', \'{$c}\')"); 所以这里$a必须是一个有效值，可以插入db。我有理由不使用insert（）、prepare（）等特定函数，因此我需要确保$a有效且安全。如何确保像姓氏或注释这样的文本数据。
那么这是不是破坏了安全？
