WordPress确实负责SQL注入并为您服务。请参见Security 关于此的部分page. 这个wp_insert_post() 函数贯穿sanitize_post().

请注意，仍可能插入恶意或意外代码：

“但是，您可能希望从post_title 以及任何其他字段。令人惊讶的是，WordPress并没有自动做到这一点。通过使用wp_strip_all_tags() 功能和isespecially useful when building front-end post submission forms.“”

如果您不想删除所有标签，Validating Sanitizing and Escaping User Data 这是一个很好的页面，可以开始寻找内置的特定卫生规则。你再安全不过了。