如何安全重写WordPress的wp_login_form函数默认HTML结构？

绝对不要修改WordPress核心文件（比如wp_includes/general-template.php），更新会直接覆盖你的修改。以下是两种可靠的自定义方案：

方案一：接管插件的表单生成函数（推荐） #

插件通过pmpro_login_form()调用核心的wp_login_form()，我们可以直接覆盖这个插件函数，获取表单HTML后修改再输出：

// 在主题的functions.php中添加代码
if (!function_exists('pmpro_login_form')) {
    function pmpro_login_form( $args = array() ) {
        add_filter( 'login_form_top', 'pmpro_login_form_hidden_field' );
        // 让wp_login_form返回HTML字符串而非直接输出
        $form = wp_login_form(array_merge($args, array('echo' => false)));
        remove_filter( 'login_form_top', 'pmpro_login_form_hidden_field' );
        
        // 开始自定义HTML结构，示例：替换p标签为自定义div容器
        $form = str_replace('<p class="login-username">', '<div class="custom-form-group username-group">', $form);
        $form = str_replace('<p class="login-password">', '<div class="custom-form-group password-group">', $form);
        $form = str_replace('<p class="login-remember">', '<div class="custom-remember-wrap">', $form);
        $form = str_replace('<p class="login-submit">', '<div class="custom-submit-wrap">', $form);
        $form = str_replace('</p>', '</div>', $form);

        // 还可以修改输入框类名、添加额外元素等，比如给提交按钮加自定义样式
        $form = str_replace('class="button button-primary"', 'class="custom-login-btn"', $form);
        
        echo $form;
    }
}

这个方法完全保留插件原有逻辑（比如隐藏字段），同时能自由修改HTML结构，不会影响WordPress更新。

方案二：完全自定义登录表单 #

如果需要彻底重构表单结构，可以直接编写自己的表单函数，替换插件的调用：

// 在主题的functions.php中添加自定义表单函数
function custom_pmpro_login_form( $args = array() ) {
    $defaults = array(
        'redirect'       => ( is_ssl() ? 'https://' : 'http://' ) . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'],
        'form_id'        => 'custom-login-form',
        'label_username' => __( '用户名或邮箱' ),
        'label_password' => __( '密码' ),
        'label_remember' => __( '记住我' ),
        'label_log_in'   => __( '登录' ),
        'remember'       => true,
        'value_username' => '',
    );
    $args = wp_parse_args( $args, apply_filters( 'login_form_defaults', $defaults ) );

    // 完全自定义HTML结构
    $form = sprintf(
        '<form name="%1$s" id="%1$s" action="%2$s" method="post" class="custom-login-wrapper">',
        esc_attr( $args['form_id'] ),
        esc_url( site_url( 'wp-login.php', 'login_post' ) )
    );

    // 保留插件原有的隐藏字段
    $form .= pmpro_login_form_hidden_field();

    // 自定义用户名输入区
    $form .= sprintf(
        '<div class="form-item">
            <label for="user_login" class="form-label">%s</label>
            <input type="text" name="log" id="user_login" autocomplete="username" class="form-input" value="%s" />
        </div>',
        esc_html( $args['label_username'] ),
        esc_attr( $args['value_username'] )
    );

    // 自定义密码输入区
    $form .= sprintf(
        '<div class="form-item">
            <label for="user_pass" class="form-label">%s</label>
            <input type="password" name="pwd" id="user_pass" autocomplete="current-password" class="form-input" />
        </div>',
        esc_html( $args['label_password'] )
    );

    // 自定义记住我选项
    if ( $args['remember'] ) {
        $form .= sprintf(
            '<div class="form-item remember-item">
                <label><input name="rememberme" type="checkbox" id="rememberme" value="forever" /> %s</label>
            </div>',
            esc_html( $args['label_remember'] )
        );
    }

    // 自定义提交按钮
    $form .= sprintf(
        '<div class="form-item submit-item">
            <input type="submit" name="wp-submit" id="wp-submit" class="custom-submit-btn" value="%s" />
            <input type="hidden" name="redirect_to" value="%s" />
        </div>',
        esc_attr( $args['label_log_in'] ),
        esc_url( $args['redirect'] )
    );

    $form .= '</form>';
    echo $form;
}

之后找到插件调用pmpro_login_form()的位置（比如短代码、模板文件），替换为custom_pmpro_login_form()即可。

注意事项 #

1. 所有修改必须放在主题functions.php或自定义插件中，禁止修改核心/插件文件。
2. 保留表单必要字段：log（用户名/邮箱）、pwd（密码）、rememberme（记住我）、redirect_to（跳转地址）、wp-submit（提交按钮），否则登录功能会失效。
3. 必须使用esc_attr()、esc_html()、esc_url()做安全转义，避免XSS漏洞。

内容的提问来源于stack exchange，提问作者Pipo Design