wp_delete_attachment（含force参数）与wp_delete_file无法正常工作

核心问题 #

你遇到的wp_delete_attachment()和wp_delete_file()无法删除文件的情况，大概率是函数调用顺序错误、附件ID有效性未验证或权限/路径问题导致的，以下是具体排查和修复步骤：

排查与修复方向 #

1. 先验证附件ID的有效性 #

代码中直接从post meta获取$attachment_id，但未验证该ID是否对应真实存在的附件：

$attachment_id = get_post_meta($postId, 'attachment_id_' . $overlayCount, true);
// 新增验证：检查是否为有效附件
if (empty($attachment_id) || get_post_type($attachment_id) !== 'attachment') {
    wp_die('无效的附件ID');
}

2. 调整函数调用顺序 #

wp_delete_attachment($attachment_id, true)本身会自动删除附件关联的所有文件（包括原图和缩略图），并删除附件帖子。你先调用wp_delete_file()会提前删除文件，导致wp_delete_attachment执行时找不到文件，可能跳过后续清理逻辑。应移除单独的wp_delete_file()调用，让wp_delete_attachment处理文件删除。

3. 补充附件权限验证 #

当前代码仅验证了用户对父帖子的删除权限，但删除附件需要单独的权限验证：

// 新增：验证用户是否有权限删除该附件
if (!current_user_can('delete_post', $attachment_id)) {
    wp_die('你没有权限删除该附件');
}

4. 确认文件路径与服务器权限 #

可以临时输出get_attached_file($attachment_id)的结果，确认路径是否正确；同时检查服务器上该文件的读写权限（通常需要web服务器用户拥有删除权限）。

修复后的完整代码 #

public static function delete_image_overlay() {
    // 恢复安全验证！不要注释nonce检查
    check_admin_referer('delete_overlay_image');

    // 验证帖子ID
    if (!isset($_POST['feature_route_id']) || !is_numeric($_POST['feature_route_id'])) {
        wp_die('无效的帖子ID');
    }
    $postId = intval($_POST['feature_route_id']);

    // 验证用户对父帖子的权限
    if (!current_user_can('delete_post', $postId)) {
        wp_die('你没有权限操作该帖子');
    }

    // 处理overlay count
    $overlayCount = isset($_POST['overlay_count']) && is_numeric($_POST['overlay_count']) 
        ? intval($_POST['overlay_count']) 
        : 0;

    // 删除关联meta
    delete_post_meta($postId, 'marker_lat_' . $overlayCount);
    delete_post_meta($postId, 'marker_lng_' . $overlayCount);
    delete_post_meta($postId, 'bounds_sw_lat_' . $overlayCount);
    delete_post_meta($postId, 'bounds_sw_lng_' . $overlayCount);
    delete_post_meta($postId, 'bounds_ne_lat_' . $overlayCount);
    delete_post_meta($postId, 'bounds_ne_lng_' . $overlayCount);

    // 获取并验证附件ID
    $attachment_id = get_post_meta($postId, 'attachment_id_' . $overlayCount, true);
    if (empty($attachment_id) || get_post_type($attachment_id) !== 'attachment') {
        wp_die('无效的附件ID');
    }

    // 验证用户对附件的删除权限
    if (!current_user_can('delete_post', $attachment_id)) {
        wp_die('你没有权限删除该附件');
    }

    // 删除附件meta
    delete_post_meta($postId, 'attachment_id_' . $overlayCount);

    // 调用wp_delete_attachment处理文件删除和附件帖子删除
    $deleted = wp_delete_attachment($attachment_id, true);
    if ($deleted) {
        echo json_encode('已删除 - ' . $attachment_id);
    } else {
        echo json_encode('删除失败 - ' . $attachment_id);
    }

    wp_die();
}

额外注意事项 #

• 不要注释check_admin_referer，这是防止CSRF攻击的关键安全措施，必须保留。
• 如果服务器开启了文件缓存或CDN，删除文件后可能需要手动清理缓存，避免旧文件仍然可访问。
• 开启WP_DEBUG模式可以查看具体错误信息，帮助定位问题（在wp-config.php中设置define('WP_DEBUG', true);）。

内容的提问来源于stack exchange，提问作者Robert Ruby II