如何阻止WooCommerce订单状态通过API被修改？

针对你遇到的物流服务商API自动修改订单状态为Completed的问题，有两种实用的解决思路，代码都可以直接放到主题的functions.php文件或者自定义插件中：

1. 针对特定IP限制状态修改（精准控制） #

这种方法只拦截目标物流服务商的IP请求中的状态修改，不影响他们正常导入订单的操作：

add_filter('woocommerce_rest_pre_insert_shop_order_object', 'restrict_order_status_update_by_ip', 10, 3);
function restrict_order_status_update_by_ip($order, $request, $creating) {
    // 替换为物流服务商的实际IP，多个IP用数组添加
    $blocked_ips = array('192.168.1.100', '203.0.113.50');
    $client_ip = $_SERVER['REMOTE_ADDR'];
    
    // 仅针对更新操作，且来自目标IP，同时请求包含状态修改字段时拦截
    if (!$creating && in_array($client_ip, $blocked_ips) && isset($request['status'])) {
        // 移除状态字段，阻止修改生效
        unset($request['status']);
        // 可选：如果需要明确提示对方，取消下面注释返回403错误
        // return new WP_Error('rest_forbidden', '订单状态禁止通过此API修改', array('status' => 403));
    }
    return $order;
}

2. 通用禁止所有REST API修改订单状态（彻底拦截） #

如果你的站点不需要任何外部API修改订单状态，可以用这个方法彻底屏蔽所有更新请求中的状态字段：

add_filter('woocommerce_rest_pre_insert_shop_order_object', 'universal_block_order_status_update', 10, 3);
function universal_block_order_status_update($order, $request, $creating) {
    // 仅拦截更新操作，创建订单时允许设置初始状态（不影响用户正常下单）
    if (!$creating && isset($request['status'])) {
        unset($request['status']);
        // 可选：返回错误提示
        // return new WP_Error('rest_forbidden', '禁止通过REST API修改订单状态', array('status' => 403));
    }
    return $order;
}

3. 额外方案：按API密钥/用户角色限制 #

如果物流服务商的IP经常变动，更可靠的方式是通过其API对应的用户角色或ID限制：

add_filter('woocommerce_rest_pre_insert_shop_order_object', 'restrict_order_status_by_api_role', 10, 3);
function restrict_order_status_by_api_role($order, $request, $creating) {
    if (!$creating && isset($request['status'])) {
        $current_user = wp_get_current_user();
        // 替换为物流服务商API对应的用户角色（比如你给他们创建的专属角色）
        $restricted_roles = array('logistics_api_user');
        if (array_intersect($restricted_roles, $current_user->roles)) {
            unset($request['status']);
        }
    }
    return $order;
}

注意事项 #

• 测试前建议先备份站点，避免出现意外问题
• 如果选择返回错误提示，需要提前告知物流服务商，避免对方系统报错
• 若使用IP限制，要确认物流服务商的IP是固定的，否则需要定期更新IP列表

内容的提问来源于stack exchange，提问作者inspirednz