如何通过PHP设置表单输入为只读/禁用并防止篡改？

针对你遇到的前端禁用邮箱字段可被开发者工具绕过的问题，必须结合前端增强限制和后端强制校验来彻底解决，同时保留account_email字段满足插件交互需求：

一、前端优化：提升用户体验+增加篡改门槛 #

把原有的disabled属性替换为readonly，配合样式和事件阻止用户编辑，同时确保字段值能被表单提交（disabled字段不会被提交，可能影响插件交互）：

修改后的HTML代码：

<form name="Form" class="mts-edit-account" action="<?php echo admin_url('admin-ajax.php'); ?>" method="post" enctype="multipart/form-data" <?php add_action( 'woocommerce_edit_account_form_tag', 'action_woocommerce_edit_account_form_tag' );?> >

  <div class="form-row email_show">
    <label class="t3" for="account_email">Email</label>
    <input type="email" class="field-settings disabled" 
           style="pointer-events:none; background-color: #f0f0f0;" 
           name="account_email" id="account_email" 
           readonly 
           onkeydown="return false" 
           value="<?php echo esc_attr( $user->user_email ); ?>" />  
    <span class="t4-light">Description..........</span>
  </div>

</form>

• readonly：允许字段值随表单提交，同时禁止用户编辑
• pointer-events:none：阻止鼠标点击交互
• onkeydown="return false"：阻止键盘输入操作
• 灰色背景：直观提示用户该字段不可修改

二、后端PHP校验：核心防护，彻底杜绝篡改 #

前端限制仅针对普通用户，后端必须强制忽略或校验提交的邮箱值，以下两种方案任选：

方案1：直接覆盖提交的邮箱值（最简单高效） #

在主题的functions.php中添加代码，不管用户提交什么邮箱，强制使用当前登录用户的原始邮箱：

add_action('woocommerce_save_account_details', 'lock_account_email_prevent_change', 10, 1);
function lock_account_email_prevent_change($user_id) {
    $user = get_user_by('id', $user_id);
    // 强制将提交的邮箱设回用户原始邮箱
    $_POST['account_email'] = $user->user_email;
}

方案2：校验邮箱一致性，篡改时提示错误（更友好） #

如果需要在用户尝试篡改时给出明确提示，使用以下代码：

add_action('woocommerce_save_account_details_errors', 'validate_account_email_not_changed', 10, 2);
function validate_account_email_not_changed($errors, $user) {
    if (isset($_POST['account_email']) && $_POST['account_email'] !== $user->user_email) {
        $errors->add('email_change_not_allowed', __('邮箱地址不允许修改。', 'woocommerce'));
    }
    return $errors;
}

三、可选加固：隐藏真实字段（双重保险） #

若担心前端显示字段被篡改后影响插件交互，可将显示字段与真实提交字段分离，保留显示的只读字段，同时添加隐藏的account_email字段：

<div class="form-row email_show">
  <label class="t3" for="account_email_display">Email</label>
  <input type="email" class="field-settings disabled" 
         style="pointer-events:none; background-color: #f0f0f0;" 
         id="account_email_display" 
         readonly 
         onkeydown="return false" 
         value="<?php echo esc_attr( $user->user_email ); ?>" />  
  <!-- 隐藏的真实提交字段，供插件交互 -->
  <input type="hidden" name="account_email" value="<?php echo esc_attr( $user->user_email ); ?>" />
  <span class="t4-light">Description..........</span>
</div>

配合后端方案1或2，进一步降低篡改风险。

内容的提问来源于stack exchange，提问作者Snorlax