如何限制WPForms上传文件的公共访问，满足数据隐私合规要求？

方案一：修改存储路径到非公开目录 #

WPForms默认将上传文件存在wp-content/uploads/wpforms/（公开可访问），可通过代码将存储路径转移到网站根目录外的非公开文件夹，彻底阻断直接访问：

1. 在网站根目录外创建私有文件夹（如wpforms-private-uploads），设置服务器可读写权限（推荐755）。
2. 在主题functions.php中添加代码，修改WPForms的上传路径：

add_filter( 'wpforms_upload_dir', 'custom_wpforms_private_upload_dir' );
function custom_wpforms_private_upload_dir( $uploads ) {
    // 替换为你创建的私有文件夹绝对路径
    $uploads['path'] = ABSPATH . '../wpforms-private-uploads';
    $uploads['url'] = site_url( '/wpforms-private-uploads' );
    return $uploads;
}

3. 配置服务器拦截直接访问，通过WordPress权限验证处理请求：
   • Apache：在私有文件夹内创建.htaccess文件，写入：

     RewriteEngine On
     RewriteRule ^(.*)$ /wp-content/plugins/wpforms/public/download.php?file=$1 [L]
     

   • Nginx：在站点配置中添加规则：

     location /wpforms-private-uploads {
         rewrite ^/(.*)$ /wp-content/plugins/wpforms/public/download.php?file=$1 last;
         deny all;
     }
     

4. 替换WPForms的文件下载链接，让其指向私有目录：

add_filter( 'wpforms_entry_file_url', 'custom_wpforms_private_file_url', 10, 3 );
function custom_wpforms_private_file_url( $url, $attachment_id, $field_id ) {
    return str_replace( site_url( '/wp-content/uploads/wpforms/' ), site_url( '/wpforms-private-uploads/' ), $url );
}

方案二：直接限制默认公开目录的访问权限 #

若不想修改存储路径，可通过服务器配置拦截非授权用户访问：

Apache环境 #

在wp-content/uploads/wpforms/目录下创建.htaccess文件，写入：

RewriteEngine On
# 非登录用户直接跳转首页
RewriteCond %{HTTP_COOKIE} !^.*wordpress_logged_in_.*$ [NC]
RewriteRule ^(.*)$ / [R=302,L]
# 可选：仅允许管理员访问（需替换管理员ID，如1）
RewriteCond %{HTTP_COOKIE} !wordpress_logged_in_[^=]+=1%7C [NC]
RewriteRule ^(.*)$ / [R=302,L]

Nginx环境 #

在站点配置中添加规则：

location ~* ^/wp-content/uploads/wpforms/ {
    # 非登录用户跳转首页
    if ($http_cookie !~* "wordpress_logged_in_") {
        return 302 /;
    }
    # 可选：仅允许指定管理员ID访问（替换为你的管理员ID）
    set $admin_valid 0;
    if ($http_cookie ~* "wordpress_logged_in_[^=]+=([^%]+)%7C") {
        set $user_id $1;
        if ($user_id = "1") {
            set $admin_valid 1;
        }
    }
    if ($admin_valid = 0) {
        return 302 /;
    }
}

方案三：使用WPForms Pro扩展（最简方案） #

WPForms Pro的Entry Management扩展自带Private Uploads功能，开启后无需手动配置：

1. 激活WPForms Pro及Entry Management扩展；
2. 在表单编辑器的文件上传字段设置中，开启Private Uploads选项；
3. 保存表单后，新上传的文件仅对管理员或指定角色用户开放访问。

内容的提问来源于stack exchange，提问作者Ten