在WordPress中安全地输出数据库查询结果是很重要的，因为它可以帮助防止SQL注入、跨站脚本（XSS）攻击等安全问题。以下是一些步骤和最佳实践来确保你安全地输出数据库查询结果：

1. 使用预处理语句：预处理语句可以确保你的查询是安全的，因为它会自动转义查询中的变量。

   global $wpdb;
   $sql = $wpdb->prepare("SELECT * FROM {$wpdb->prefix}table_name WHERE column_name = %s", $value);
   $results = $wpdb->get_results($sql);

2. 转义输出：当你从数据库中检索数据并准备将其输出到浏览器时，应使用适当的转义函数。

   • 对于HTML输出，使用 esc_html() 或 htmlspecialchars()。
   • 对于URL，使用 esc_url()。
   • 对于JavaScript，使用 esc_js()。

   例如：

   foreach ($results as $result) {
      echo esc_html($result->column_name);
   }

3. 验证和清理数据：在将数据插入数据库之前，应该验证和清理数据。WordPress提供了sanitize_*()系列函数来帮助清理数据。

   $clean_value = sanitize_text_field($value);

4. 使用WordPress函数获取数据：尽可能使用WordPress内置的函数来获取和输出数据，如get_posts(), get_pages(), get_the_title(), 等等。

5. 避免直接输出原始数据：永远不要直接输出从数据库中检索到的原始数据。始终使用转义函数。

6. 限制查询结果：如果可能，限制查询结果的数量，以减少数据暴露的风险。

   $sql = $wpdb->prepare("SELECT * FROM {$wpdb->prefix}table_name WHERE column_name = %s LIMIT 10", $value);

7. 错误处理：确保在执行数据库查询时适当地处理错误。

   if (false === $results) {
      // Handle error
   }

8. 使用nonce和capability检查：确保用户有权限执行查询，并且使用nonce来防止CSRF攻击。

   if (current_user_can('manage_options') && check_ajax_referer('my_nonce', 'nonce', false)) {
      // Perform database query
   }

通过遵循上述最佳实践，你可以显著提高WordPress网站的安全性，并保护你的数据库查询不受恶意攻击。