WordPress中自定义表单删除ACF用户资料重复器字段行失败

问题场景 #

• 使用ACF重复器字段extra_user_info存储WordPress用户资料，后台用户资料页显示正常
• 自定义前端表单通过单选按钮列出所有行，用户选择后提交可正常返回选中值，但调用delete_sub_row函数无法删除指定行，即使硬编码行号也无效
• 因特殊限制无法使用ACF自带前端表单，必须自行实现

原代码：

$user_ID        = get_current_user_id();
$field          = 'extra_user_info'; // Name of the repeater field
$row_to_delete  = $_POST["row_to_delete"];

delete_sub_row($field, $row_to_delete, 'user_' . $user_id);

问题根源 #

1. 行索引不匹配：ACF重复器的行号采用0开始的索引，而非1开始的序号。如果前端传递的是从1计数的行号，直接传入函数会找不到对应行
2. 变量大小写错误：代码中定义的变量是$user_ID（大写ID），但拼接用户标识时用了$user_id（小写id），PHP变量大小写敏感，导致目标用户元数据定位错误
3. 缺乏安全验证：未对$_POST数据做过滤，也未验证用户权限，可能导致操作被WordPress安全机制静默拦截

修复后的代码 #

// 验证用户权限：仅允许当前用户操作自己的资料
if (!is_user_logged_in() || get_current_user_id() != (int)$_POST['user_id']) {
    wp_die('无操作权限');
}

// 安全处理输入数据
$user_id        = get_current_user_id();
$field_name     = 'extra_user_info';
// 将前端1-based序号转为ACF需要的0-based索引
$row_index      = intval($_POST['row_to_delete']) - 1;

// 先获取当前重复器数据，验证索引有效性
$repeater_data  = get_field($field_name, 'user_' . $user_id);
if (!is_array($repeater_data) || $row_index < 0 || $row_index >= count($repeater_data)) {
    wp_die('无效的行索引');
}

// 执行删除操作
delete_sub_row($field_name, $row_index, 'user_' . $user_id);

// 重定向回原页面，避免重复提交
wp_redirect($_SERVER['HTTP_REFERER']);
exit;

关键注意事项 #

• 前端单选按钮的value如果是1开始的行号，后端必须减1转为0开始的索引；如果前端直接使用0开始的索引，则无需转换
• 始终对用户输入做intval()等安全过滤，防止非法数据注入
• 添加权限验证和索引有效性检查，避免无效或恶意操作
• 操作完成后执行重定向，避免用户刷新页面重复提交

内容的提问来源于stack exchange，提问作者User_FTW