WordPress前端提交表单字段保存为自定义字段求助

1. 完善短代码：添加安全验证与输出转义 #

先修改你的短代码，补充WordPress安全验证字段，同时对输出内容做转义处理，符合安全规范：

function my_custom_shortcode() {
    global $wpdb;
    $results = $wpdb->get_results( "SELECT city FROM slovak_cities" );
    
    // 添加非ceckbox字段，防止跨站请求伪造
    $select = wp_nonce_field( 'save_city_field_nonce', 'city_field_nonce', true, false );
    
    $select .= '<select name="city_field">';
    $select .= '<option value="-1">- select your city -</option>';
    
    foreach ( $results as $result ) {
        $city_slug = str_replace( ' ', '_', strtolower( remove_accents( $result->city ) ) );
        // 对属性值和文本内容做转义
        $select .= '<option value="' . esc_attr( $city_slug ) . '">' . esc_html( $result->city ) . '</option>';
    }
    
    $select .= '</select>';
    
    return $select;
}
add_shortcode( 'my_shortcode', 'my_custom_shortcode' );

2. 编写自定义字段保存逻辑 #

使用save_post动作钩子实现字段保存，这个钩子在文章创建或更新时触发，无论插件是否直接调用wp_insert_post()，只要文章被保存就会生效：

function save_city_custom_field( $post_id ) {
    // 跳过自动保存场景
    if ( defined( 'DOING_AUTOSAVE' ) && DOING_AUTOSAVE ) {
        return;
    }
    
    // 验证用户权限：确保当前用户能编辑目标文章
    if ( ! current_user_can( 'edit_post', $post_id ) ) {
        return;
    }
    
    // 验证非ceckbox，确保请求合法
    if ( ! isset( $_POST['city_field_nonce'] ) || ! wp_verify_nonce( $_POST['city_field_nonce'], 'save_city_field_nonce' ) ) {
        return;
    }
    
    // 处理字段值：如果选中有效城市则保存，否则删除字段
    if ( isset( $_POST['city_field'] ) && $_POST['city_field'] !== '-1' ) {
        $city_value = sanitize_text_field( $_POST['city_field'] );
        // update_post_meta会自动判断：字段存在则更新，不存在则新增
        update_post_meta( $post_id, 'city_field', $city_value );
    } else {
        delete_post_meta( $post_id, 'city_field' );
    }
}
add_action( 'save_post', 'save_city_custom_field' );

关键细节说明 #

• 钩子选择：save_post是最通用的文章保存钩子，覆盖创建和更新场景；如果插件用自定义流程处理投稿，也可以尝试wp_insert_post钩子（文章插入数据库后触发），效果一致。
• 函数选择：update_post_meta()比add_post_meta()更高效，无需额外判断字段是否存在，自动完成新增/更新操作。
• 安全规范：必须添加非ceckbox验证、权限检查，同时对用户输入做 sanitize 处理，避免XSS或SQL注入风险。

验证插件是否调用wp_insert_post()的方法 #

如果需要确认插件的实现逻辑，可以临时添加调试代码：

function debug_wp_insert_post( $post_id ) {
    error_log( 'wp_insert_post triggered for post ID: ' . $post_id );
}
add_action( 'wp_insert_post', 'debug_wp_insert_post' );

开启WordPress的WP_DEBUG_LOG后，提交投稿并查看wp-content/debug.log，如果有对应日志输出，说明插件调用了该函数。

内容的提问来源于stack exchange，提问作者Juraj