WordPress通过AJAX检测Slug是否存在：现有方案是否有风险及更佳方案？

一、现存安全风险 #

• SQL注入漏洞：直接把$_POST['slug']拼进SQL查询语句，完全没做转义处理。如果有人输入类似' OR 1=1--的恶意内容，会篡改查询逻辑，甚至可能导致数据库数据泄露或被破坏。
• 无权限验证：任何人都能访问is_valid_slug.php文件，恶意用户可以批量请求枚举网站已存在的slug，造成信息泄露，甚至以此为基础发起后续攻击。
• 请求过于频繁：前端keyup事件每按一次键就发一次AJAX请求，会给服务器带来不必要的性能压力。
• 加载WordPress环境的方式不规范：用$_SERVER['DOCUMENT_ROOT']拼接路径，在部分特殊服务器环境下可能出错，也不符合WordPress的开发规范。

二、更优的替代方案 #

1. 改用WordPress官方AJAX API（推荐） #

WordPress自带admin-ajax.php处理AJAX请求，不用单独写PHP文件，更安全规范。

后端代码（放在主题的functions.php中）

// 注册AJAX动作，登录/未登录用户都可访问（按需调整）
add_action('wp_ajax_check_slug_exists', 'check_slug_exists_callback');
add_action('wp_ajax_nopriv_check_slug_exists', 'check_slug_exists_callback');

function check_slug_exists_callback() {
    // 验证nonce，防止CSRF攻击
    if (!isset($_POST['nonce']) || !wp_verify_nonce($_POST['nonce'], 'check_slug_nonce')) {
        wp_send_json_error('非法请求');
        wp_die();
    }

    // 可选：限制仅编辑权限以上用户使用
    // if (!current_user_can('edit_posts')) {
    //     wp_send_json_error('无权限');
    //     wp_die();
    // }

    // 过滤并格式化输入的slug
    $slug = isset($_POST['slug']) ? sanitize_title($_POST['slug']) : '';
    if (empty($slug)) {
        wp_send_json_success(0);
        wp_die();
    }

    // 使用$wpdb->prepare预处理SQL，彻底防范注入
    global $wpdb;
    $count = $wpdb->get_var($wpdb->prepare(
        "SELECT COUNT(ID) FROM $wpdb->posts WHERE post_name = %s",
        $slug
    ));

    wp_send_json_success((int)$count);
    wp_die(); // 必须调用wp_die结束请求
}

前端代码（添加防抖处理）

// 防抖函数：停止输入500ms后再发起请求，减少服务器压力
function debounce(func, delay) {
    let timeoutId;
    return function() {
        clearTimeout(timeoutId);
        timeoutId = setTimeout(() => func.apply(this, arguments), delay);
    };
}

jQuery("#slugBrut").keyup(debounce(function() {
    var slugBrutText = jQuery("#slugBrut").val().trim();
    if (!slugBrutText) {
        console.log('请输入slug');
        return;
    }

    jQuery.ajax({
        type: "POST",
        url: "<?php echo admin_url('admin-ajax.php'); ?>",
        data: {
            action: 'check_slug_exists',
            slug: slugBrutText,
            nonce: "<?php echo wp_create_nonce('check_slug_nonce'); ?>"
        },
        success: function(response) {
            if (response.success) {
                console.log(response.data ? 'slug已存在' : 'slug可用');
                // 这里可以改成给用户显示直观提示，比如修改输入框旁边的文字
            } else {
                console.error(response.data);
            }
        },
        error: function(xhr) {
            console.error('请求失败');
        }
    });
}, 500));

2. 若坚持用自定义PHP文件，至少做这些修复 #

<?php
// 规范加载WordPress环境
require_once(dirname(__FILE__) . '/../../wp-load.php');

// 验证nonce
if (!isset($_POST['nonce']) || !wp_verify_nonce($_POST['nonce'], 'check_slug_nonce')) {
    die('非法请求');
}

// 过滤输入的slug
$slug = isset($_POST['slug']) ? sanitize_title($_POST['slug']) : '';
if (empty($slug)) {
    echo 0;
    die();
}

global $wpdb;
// 用prepare预处理SQL，防止注入
$post_if = $wpdb->get_var($wpdb->prepare(
    "SELECT count(ID) FROM $wpdb->posts WHERE post_name = %s",
    $slug
));
echo $post_if;
die();

前端也要同步加上nonce和防抖逻辑，参考上面的前端代码。

三、额外注意事项 #

• 用sanitize_title()处理slug，确保它符合WordPress的slug格式（仅含字母、数字、连字符）。
• 若仅允许登录用户使用，删除后端代码中wp_ajax_nopriv_*的动作，只保留wp_ajax_*。
• 前端可以把console.log的输出改成更友好的页面提示，比如在输入框旁显示“可用”或“已存在”的文字。

内容的提问来源于stack exchange，提问作者Jean-Pierre TR