如何在WordPress（WooCommerce）中验证订单后向自有服务器发起HTTP请求？

你的担心完全合理——如果把请求逻辑放在浏览器端（前端），API密钥肯定会被用户通过开发者工具看到，绝对不能这么做。所有涉及敏感信息（比如API密钥）的操作，必须放在WordPress/WooCommerce后端执行。

具体实现步骤 #

1. 选择合适的WooCommerce钩子
   用WooCommerce提供的订单状态钩子触发请求，最常用的是woocommerce_order_status_completed（订单变为“已完成”状态时触发）。如果你的“自动验证”是自定义流程，可以结合订单的自定义字段或其他状态判断。

2. 编写后端PHP代码
   将代码放在主题的functions.php文件，或者创建一个简单的自定义插件（推荐，避免主题更新丢失代码）。以下是完整示例：

// 当订单状态变为已完成时触发请求
add_action('woocommerce_order_status_completed', 'send_request_after_order_validation', 10, 1);

function send_request_after_order_validation($order_id) {
    // 获取订单对象
    $order = wc_get_order($order_id);
    
    // 额外验证：确保订单已支付，且通过你的自动验证逻辑（根据需求调整）
    if (!$order->is_paid()) {
        return;
    }
    
    // 假设你用自定义字段标记订单是否已验证
    if ($order->get_meta('order_auto_validated') !== 'yes') {
        return;
    }
    
    // 你的服务器API地址
    $api_url = 'https://your-server.com/api/your-endpoint';
    // 从WordPress选项读取API密钥（推荐，不要硬编码）
    $api_key = get_option('my_custom_server_api_key');
    
    // 准备要发送的订单数据
    $request_data = array(
        'order_id' => $order_id,
        'customer_email' => $order->get_billing_email(),
        'total' => $order->get_total(),
        'currency' => $order->get_currency()
    );
    
    // 请求头，携带API密钥
    $headers = array(
        'Authorization' => 'Bearer ' . $api_key,
        'Content-Type' => 'application/json'
    );
    
    // 发起POST请求（用WordPress原生函数，兼容性更好）
    $response = wp_remote_post($api_url, array(
        'headers' => $headers,
        'body' => json_encode($request_data),
        'timeout' => 15, // 设置超时时间，避免阻塞订单流程
        'sslverify' => true // 生产环境建议开启SSL验证
    ));
    
    // 记录请求日志，方便排查问题
    if (is_wp_error($response)) {
        error_log('订单' . $order_id . '请求失败: ' . $response->get_error_message());
    } else {
        $status_code = wp_remote_retrieve_response_code($response);
        error_log('订单' . $order_id . '请求成功，响应状态码: ' . $status_code);
    }
}

关键注意事项 #

• API密钥安全存储：不要直接把密钥写在代码里，建议在WordPress后台添加一个自定义设置项来存储（可以用add_settings_field函数实现），然后用get_option读取，避免代码泄露导致密钥丢失。
• 验证逻辑调整：根据你的“自动验证”规则修改代码中的判断条件，比如检查订单的支付状态、自定义验证字段等，确保只有验证通过的订单才会触发请求。
• 避免阻塞订单流程：设置合理的请求超时时间，不要让请求卡住订单状态更新的流程。如果你的服务器响应较慢，可以考虑用WordPress的异步任务（比如WP Cron）来延迟执行请求。

内容的提问来源于stack exchange，提问作者Jiehfeng