WordPress插件表单提交报错：Call to undefined function update_option()

你直接将表单提交到插件的form-processing.php文件，这个文件没有加载WordPress核心环境——WordPress的核心函数（比如update_option()）和常量（比如ABSPATH）只有在WordPress初始化流程中才会被定义，直接访问独立PHP文件时这些都不存在，所以会触发函数未定义的致命错误。

这是WordPress插件处理后台表单提交的官方推荐方式，安全且符合规范：

1. 修改表单代码 #

更新表单的action指向WordPress的admin-post.php，同时添加安全验证用的nonce字段：

<form id="api-key-form" method="post" action="<?php echo admin_url('admin-post.php'); ?>">
    <!-- 保留原有的action标识 -->
    <input type="hidden" name="action" value="api_key_form">
    <!-- 添加nonce安全验证 -->
    <?php wp_nonce_field('save_api_keys', 'api_keys_nonce'); ?>
    
    <div class="api-key-form-input">
        <label for="consumer-key" class="bold">Consumer Key:</label>
        <input type="text" id="consumer-key" name="consumer-key" required><br>
    </div>
    <div class="api-key-form-input">
        <label for="consumer-secret" class="bold">Consumer Secret:</label>
        <input class="api-form-text-input" type="text" id="consumer-secret" name="consumer-secret" required>
    </div>
    <div id="api-key-form-submit-wrap">
        <input type="submit" value="Save" id="api-key-form-submit-btn">
    </div>
</form>

2. 在插件主文件中注册表单处理钩子 #

打开你的插件主文件（比如maxipoo-inventory.php），添加以下代码处理表单提交：

// 处理登录用户的表单提交
add_action('admin_post_api_key_form', 'mp_handle_api_keys_submission');

function mp_handle_api_keys_submission() {
    // 1. 安全验证：检查nonce和用户权限
    if (!isset($_POST['api_keys_nonce']) || !wp_verify_nonce($_POST['api_keys_nonce'], 'save_api_keys')) {
        wp_die('安全验证失败，请返回重试。');
    }
    if (!current_user_can('manage_options')) {
        wp_die('你没有权限执行此操作。');
    }

    // 2. 处理提交的数据
    if ($_SERVER['REQUEST_METHOD'] === 'POST') {
        // 过滤输入数据，避免恶意内容
        $consumer_key = sanitize_text_field($_POST['consumer-key']);
        $consumer_secret = sanitize_text_field($_POST['consumer-secret']);

        // 3. 保存到WordPress选项
        update_option('mp_consumer_key', $consumer_key);
        update_option('mp_consumer_secret', $consumer_secret);

        // 4. 跳转回原页面并提示成功
        wp_redirect(add_query_arg('status', 'saved', wp_get_referer()));
        exit;
    }
}

3. 清理冗余文件 #

现在可以删除原来的form-processing.php文件，所有逻辑都通过WordPress的钩子机制处理，无需独立的处理文件。

可选：添加提交成功提示 #

如果需要在表单页面显示保存成功的提示，可在表单所在页面添加以下代码：

if (isset($_GET['status']) && $_GET['status'] === 'saved') {
    echo '<div class="notice notice-success is-dismissible"><p>API密钥已成功保存！</p></div>';
}

通过admin-post.php提交表单时，WordPress会完整加载核心环境，所有核心函数和常量都能正常使用，同时自带的权限和nonce验证也能提升表单的安全性，避免CSRF攻击和非法提交。

内容的提问来源于stack exchange，提问作者maxipoo