WordPress エスケープとサニタイズの違い

sanitize_email() は、メールアドレスとして使えない文字を取り除く関数です。

sanitize_textarea_field() は、改行を残したまま、HTMLタグなどを取り除く関数です。複数行の入力の保存前に使います。

sanitize_text_field() は、入力された文字列から、HTMLタグ・改行・余分な空白を取り除く関数です。フォームのテキスト入力の保存前に使う基本のサニタイズです。

esc_js() は、JavaScriptの文字列として安全に出力できるようにエスケープする関数です。

esc_url_raw() は、URLをデータベース保存用などに整形する関数です。esc_url() と違い、& などをHTML実体参照に変換しません。

check_admin_referer() は、管理画面の処理で、nonceとリファラーを検証する関数です。失敗すると処理を終了します。

wp_nonce_url() は、URLにnonceを付与する関数です。

wp_nonce_field() は、フォームにnonceの隠しフィールドを出力する関数です。

wp_create_nonce() は、nonce（一度きりの合言葉のようなトークン）を生成する関数です。CSRF（なりすまし送信）対策に使います。

wp_slash() は、文字列にバックスラッシュを付与する関数です。wp_insert_post() などに渡す前に使います。