如何让WordPress存储的用户元值与前端输入完全一致？

问题原因 #

你遇到的是update_user_meta自动序列化逻辑导致的二次序列化：该函数会对数组/对象类型的值自动序列化，但当传入已序列化的字符串时，若环境转义或元数据逻辑误判，会将字符串再次序列化，最终存储为s:长度:"原序列化内容"的格式。

修改方案 #

方案一：直接操作数据库绕过自动序列化 #

使用wpdb直接更新用户元数据表，完全避开WordPress的元数据序列化处理：

function code_form()
{
    $content = '';
    $content .= '<h2> code </h2>';
    $content .= '<form method="post">';
    // 添加CSRF验证（必须，防止恶意提交）
    $content .= wp_nonce_field('update_code_meta', 'code_nonce');
    $content .= '<input type = "text" name="code"/>';
    $content .= '<br /><input type="submit" name="Activate" value="continue">';
    $content .= '</form>';
    return $content;
}
add_shortcode('form1','code_form');

function a()
{
    // 验证提交和CSRF令牌
    if(isset($_POST['Activate']) && wp_verify_nonce($_POST['code_nonce'], 'update_code_meta'))
    {
        global $wpdb;
        // 直接获取原始提交值，如需安全过滤可根据需求调整
        $input = wp_unslash($_POST['code']);
        $current_user_id = get_current_user_id();
        
        // 删除旧元值（确保新值完全覆盖）
        $wpdb->delete(
            $wpdb->usermeta,
            array(
                'user_id' => $current_user_id,
                'meta_key' => 'metakey_'
            )
        );
        
        // 插入新元值
        $wpdb->insert(
            $wpdb->usermeta,
            array(
                'user_id' => $current_user_id,
                'meta_key' => 'metakey_',
                'meta_value' => $input
            ),
            array('%d', '%s', '%s')
        );
        
        echo "<script>alert('success')</script>";
    }
}
add_action('wp_head','a');

方案二：禁用目标元键的自动序列化（WordPress 5.3+） #

通过过滤钩子告诉WordPress不对指定元键的值进行序列化处理，保留原update_user_meta调用：

// 添加过滤钩子，禁用metakey_的自动序列化
add_filter('wp_is_serialized', function($is_serialized, $data) {
    static $target_meta_key = 'metakey_';
    // 仅在更新用户元数据时生效
    if (did_action('update_user_meta') && $target_meta_key === current_filter()) {
        return false;
    }
    return $is_serialized;
}, 10, 2);

// 原表单和处理函数（添加CSRF验证）
function code_form()
{
    $content = '';
    $content .= '<h2> code </h2>';
    $content .= '<form method="post">';
    $content .= wp_nonce_field('update_code_meta', 'code_nonce');
    $content .= '<input type = "text" name="code"/>';
    $content .= '<br /><input type="submit" name="Activate" value="continue">';
    $content .= '</form>';
    return $content;
}
add_shortcode('form1','code_form');

function a()
{
    if(isset($_POST['Activate']) && wp_verify_nonce($_POST['code_nonce'], 'update_code_meta'))
    {
        $input = wp_unslash($_POST['code']);
        $current_user_id = get_current_user_id();
        update_user_meta($current_user_id, 'metakey_' ,$input);
        echo "<script>alert('success')</script>";
    }
}
add_action('wp_head','a');

注意事项 #

• 必须添加wp_nonce_field和wp_verify_nonce验证，防止CSRF攻击，原代码缺少该安全机制。
• 若不需要过滤HTML，可使用wp_unslash替代sanitize_text_field，避免原始序列化字符串被修改。

内容的提问来源于stack exchange，提问作者Hao Huang