WooCommerce订单编辑页出现405错误（HPOS已启用），钩子使用存疑

核心问题 #

1. Nonce验证逻辑错误：代码中用&&判断nonce是否存在及验证，逻辑完全颠倒——应该是nonce不存在 或 验证失败时就终止执行，而非两者同时满足才返回。
2. 重复触发订单保存：在woocommerce_update_order钩子内调用$order->save()会导致循环触发订单更新流程，引发HTTP 405方法不允许错误，虽然数据能保存，但重复请求会触发服务器异常拦截。
3. 字段用途不规范：transaction_id原本用于存储支付交易ID，用来存物流跟踪号属于滥用字段，建议改用自定义元字段更合规。

修正后的代码 #

// 添加订单编辑页自定义元框
add_action( 'add_meta_boxes', function() {
    add_meta_box(
        'tracking_field',
        __('Tracking number','woodmart-child'),
        'add_tracking_field_content',
        wc_get_page_screen_id('shop-order'),
        'side',
        'core'
    );
});

// 元框内容输出
function add_tracking_field_content( $order ) {
    // 获取自定义跟踪号元字段
    $tracking_number = $order->get_meta('_order_tracking_number');
    // 给nonce指定明确动作名称，验证时对应匹配
    $nonce = wp_create_nonce('save_order_tracking_number');
    
    echo '<input type="text" style="width:100%" name="ttn_number" placeholder="'. __('Tracking number', 'woodmart-child') .'" value="'. esc_attr($tracking_number) .'">';
    echo '<input type="hidden" name="ttn_nonce" value="'. $nonce .'">';
}

// 保存跟踪号（HPOS兼容）
add_action( 'woocommerce_update_order', 'save_tracking_number', 10, 2 );
function save_tracking_number($order_id, $order){
    // 修正nonce验证逻辑
    if ( ! isset($_REQUEST['ttn_nonce']) || ! wp_verify_nonce($_REQUEST['ttn_nonce'], 'save_order_tracking_number') ) {
        return;
    }

    if ( isset($_POST['ttn_number']) ) {
        $ttn_number = sanitize_text_field( $_POST['ttn_number'] );
        // 用自定义元字段存储跟踪号
        $order->update_meta_data('_order_tracking_number', $ttn_number);
        
        if( !empty($ttn_number) ) {
            $order->update_status('wc-arrival-shipment', '', true);
        }
        // 移除手动save()：woocommerce_update_order钩子会自动处理订单保存
    }
}

关键修改说明 #

• Nonce验证修复：将&&改为||，同时给nonce指定明确动作名称，确保验证逻辑严谨，避免非法请求。
• 移除手动保存：woocommerce_update_order是WooCommerce订单保存流程的核心钩子，触发时订单已处于待保存状态，无需手动调用$order->save()，否则会引发重复请求导致405错误。
• 自定义元字段：使用_order_tracking_number存储跟踪号，避免占用transaction_id的原有业务用途，符合WooCommerce扩展规范。
• 安全输出：用esc_attr()处理输入框值，防止XSS漏洞。

内容的提问来源于stack exchange，提问作者Bogdan