WordPress插件搜索查询触发权限错误（管理员账号）

核心原因：页面参数冲突触发权限验证失败 #

提交搜索后出现权限提示，本质是表单的action地址和隐藏域page参数不匹配：

• 表单action里的page值是my-submenu1
• 隐藏域page的value是my_plugin_page

WordPress后台通过page参数识别对应菜单页面，两个不一致的参数会导致系统无法匹配正确的权限规则，因此抛出权限错误。

修复步骤 #

1. 统一页面参数 #

将表单的action和隐藏域的page参数改为一致的有效值（即你注册菜单时使用的slug，这里假设为my_plugin_page）：

<form action="<?php echo admin_url('admin.php'); ?>">
    <input type="hidden" name="page" value="my_plugin_page" />
    <!-- 其他表单元素 -->
</form>

或者更灵活的写法，直接复用当前页面的URL和page参数，避免硬编码：

<form action="<?php echo esc_url($_SERVER['REQUEST_URI']); ?>">
    <input type="hidden" name="page" value="<?php echo $_GET['page']; ?>" />
    <!-- 其他表单元素 -->
</form>

2. 修复SQL注入漏洞 #

直接拼接用户输入到SQL语句存在严重安全风险，必须用$wpdb->prepare()方法处理：

if(isset($_GET['my_search_term']) && !empty($_GET['my_search_term'])){
    $search_term = '%' . $wpdb->esc_like($_GET['my_search_term']) . '%';
    $q = $wpdb->prepare("SELECT * FROM `$wp_emp` WHERE `Name` LIKE %s", $search_term);
} else {
    $q = "SELECT * FROM `$wp_emp`";
}

先用$wpdb->esc_like()转义LIKE语句中的特殊字符，再通过prepare()绑定参数，彻底规避注入风险。

3. 提前做全局权限验证 #

把权限检查移到页面最顶部，确保整个页面都受权限控制，而非仅搜索分支：

if (!current_user_can('manage_options')) {
    wp_die('Sorry, you are not allowed to access this page.');
}

global $wpdb , $table_prefix;
$wp_emp = $table_prefix."emp";

// 后续代码...

修复后的完整代码示例 #

<?php
// 全局权限验证
if (!current_user_can('manage_options')) {
    wp_die('Sorry, you are not allowed to access this page.');
}

global $wpdb , $table_prefix;
$wp_emp = $table_prefix."emp";

// 构建查询语句
$q = "SELECT * FROM `$wp_emp`";
if(isset($_GET['my_search_term']) && !empty($_GET['my_search_term'])){
    $search_term = '%' . $wpdb->esc_like($_GET['my_search_term']) . '%';
    $q = $wpdb->prepare("SELECT * FROM `$wp_emp` WHERE `Name` LIKE %s", $search_term);
}

$results = $wpdb->get_results($q);

ob_start();
?>
<div class="wrap">
    <h1>My plugin Page</h1>
    <div>
        <form action="<?php echo esc_url($_SERVER['REQUEST_URI']); ?>">
            <input type="hidden" name="page" value="<?php echo $_GET['page']; ?>" />
            <input type="text" name="my_search_term" value="<?php echo isset($_GET['my_search_term']) ? esc_attr($_GET['my_search_term']) : ''; ?>" />
            <input type="submit" value="search" name="search" />
        </form>
    </div>
    <!-- 使用WordPress后台默认表格样式 -->
    <table class="wp-list-table widefat fixed striped">
        <thead>
            <tr>
                <th>Id</th>
                <th>Name</th>
                <th>Age</th>
            </tr>
        </thead>
        <tbody>
            <?php if($results): ?>
                <?php foreach ($results as $result): ?>
                    <tr>
                        <td><?php echo esc_html($result->Id); ?></td>
                        <td><?php echo esc_html($result->Name); ?></td>
                        <td><?php echo esc_html($result->Age); ?></td>
                    </tr>
                <?php endforeach; ?>
            <?php else: ?>
                <tr>
                    <td colspan="3">暂无数据</td>
                </tr>
            <?php endif; ?>
        </tbody>
    </table>
</div>
<?php
echo ob_get_clean();
?>

额外优化点：

• 表单输入框回显用户的搜索关键词，提升使用体验
• 给表格添加WordPress后台默认样式类，适配后台UI
• 用esc_html()转义输出内容，防止XSS攻击

内容的提问来源于stack exchange，提问作者krish