如何防止WordPress搜索表单中的脚本注入？

问题根源 #

你之前写的拦截代码没效果，核心有两个原因：

• 表单里的搜索参数名是keyword，但你在pre_get_posts钩子中调用的是WordPress默认搜索参数s，根本没获取到用户输入的内容
• 靠黑名单拦截<script>、alert这类字符串太死板，攻击者随便用变形写法（比如<ScRiPt>、URL编码字符）就能绕过

靠谱的解决思路 #

要从前端限制、后端过滤、输出转义三个层面协同处理，全面防御XSS攻击：

1. 前端提前拦截（可选） #

给搜索框添加一段JS，实时过滤输入的HTML标签：

document.querySelector('.resourceFilters__searchForm-input').addEventListener('input', function() {
  this.value = this.value.replace(/<[^>]*>/g, '');
});

2. 后端核心过滤（必做） #

方案一：修改表单参数（推荐）

把输入框的name="keyword"改成name="s"，适配WordPress默认搜索逻辑，再添加过滤函数：

add_action('pre_get_posts', 'sanitize_search_query');
function sanitize_search_query($query) {
  if ($query->is_search && !is_admin() && $query->is_main_query()) {
    // 用WordPress自带函数过滤所有HTML标签和特殊字符
    $query->set('s', sanitize_text_field($query->get('s')));
  }
}

方案二：保留原表单参数

如果不想修改表单，就手动处理keyword参数：

add_action('pre_get_posts', 'sanitize_custom_search_query');
function sanitize_custom_search_query($query) {
  if ($query->is_search && !is_admin() && $query->is_main_query()) {
    if (isset($_GET['keyword'])) {
      // 过滤后传给WordPress搜索变量
      $clean_keyword = sanitize_text_field($_GET['keyword']);
      $query->set('s', $clean_keyword);
      // 清空原参数避免后续误用
      unset($_GET['keyword']);
    }
  }
}

3. 输出时转义（最后防线） #

不管后端如何过滤，在页面显示搜索关键词（比如“搜索：XXX”）时，必须用转义函数：

// 用esc_html转义后再输出，避免前端解析恶意代码
echo '搜索结果：' . esc_html(get_search_query());

为什么不推荐黑名单方式？ #

黑名单拦截逻辑完全不可靠，攻击者可以通过多种方式绕过：

• 大小写混写：<ScRiPt>alert(1)</ScRiPt>
• URL编码：%3Cscript%3Ealert(1)%3C/script%3E
• 标签嵌套：<scr<script>ipt>alert(1)</scr</script>ipt>
  而sanitize_text_field()是WordPress官方提供的安全函数，能一次性处理所有这类风险。

内容的提问来源于stack exchange，提问作者Freddy