如何修改WP_Customize_Manager类中的filter_iframe_security_headers公共函数？

问题背景 #

在映射域名的多站点配置中，需要将子域名添加到WordPress自定义izer（WP_Customize_Manager）的frame-ancestors源列表中。直接修改核心文件/wp-includes/class-wp-customize-manager.php可以生效，但希望通过自定义插件实现，避免WordPress升级后丢失修改。

当前核心函数实现：

public function filter_iframe_security_headers( $headers ) {
    $headers['X-Frame-Options']         = 'SAMEORIGIN';
    $headers['Content-Security-Policy'] = "frame-ancestors 'self'";
    return $headers;
}

期望实现的效果：

public function filter_iframe_security_headers( $headers ) {
    $headers['X-Frame-Options']         = 'SAMEORIGIN';
    $headers['Content-Security-Policy'] = "frame-ancestors 'self' *.mydomain.com";
    return $headers;
}

错误尝试 #

之前误用了不存在的钩子名，导致代码无效：

add_filter( 'filter_iframe_security_headers', 'add_iframe_domains' );
function add_iframe_domains( $headers ) {
    $headers['X-Frame-Options'] = 'SAMEORIGIN';
    $headers['Content-Security-Policy'] = "frame-ancestors 'self' *.mydomain.com";
    return $headers;
}

正确解决方案 #

filter_iframe_security_headers是WP_Customize_Manager类中的方法，它本身挂载在wp_headers过滤器上执行。我们需要在wp_headers钩子上处理，且设置比原方法更高的优先级（原方法优先级为10，这里用20确保在核心回调之后执行）：

add_filter( 'wp_headers', 'customize_add_frame_ancestors', 20 );
function customize_add_frame_ancestors( $headers ) {
    // 仅在自定义izer预览/编辑页面生效
    if ( isset( $_GET['customize_theme'] ) || is_customize_preview() ) {
        // 替换frame-ancestors规则，添加目标子域名
        if ( isset( $headers['Content-Security-Policy'] ) ) {
            $headers['Content-Security-Policy'] = str_replace(
                "frame-ancestors 'self'",
                "frame-ancestors 'self' *.mydomain.com",
                $headers['Content-Security-Policy']
            );
        }
        // 保持X-Frame-Options安全设置不变
        $headers['X-Frame-Options'] = 'SAMEORIGIN';
    }
    return $headers;
}

代码说明 #

• 使用wp_headers核心钩子而非方法名作为入口，这是修改安全头的正确途径
• 优先级设为20，确保在核心逻辑之后执行，覆盖原有规则
• 添加页面判断，仅在自定义izer相关页面生效，避免影响全站安全头配置
• 通过字符串替换修改规则，保留原有安全策略的同时添加目标域名

内容的提问来源于stack exchange，提问作者atran