WordPress表单提交触发SQL错误，PLZ匹配跳转功能失效求助

问题分析 #

你的代码存在以下关键错误，导致表单提交始终触发错误：

• 提交方法不匹配：表单使用method="get"，但后端逻辑依赖$_POST判断提交状态和获取参数，永远进入错误分支。
• 输入框无name属性：PLZ输入框未设置name="PLZ"，无法将用户输入传递到后端。
• SQL注入风险+查询不规范：直接拼接用户输入到SQL语句中，既不安全也不符合WordPress数据库操作规范。
• 跳转逻辑不严谨：循环查询结果会多次发送跳转头，违反HTTP协议；错误分支的echo输出会导致后续跳转时Header已发送，触发报错。
• WordPress文件引入冗余：同时加载wp-blog-header.php和wp-config.php可能引发加载冲突。

修正后的代码 #

1. 表单代码修正 #

<?php
function oped_postcode_form_function() { 
    ?>
    <form method="post" action="<?php echo plugins_url('action.php', __FILE__ ); ?>">
        <label>Postleitzahl</label>
        <input type="text" name="PLZ" pattern="[0-9]{5}" title="Five digit zip code" required />
        <button type="submit" name="submit">submit</button>
    </form>
    <?php
} 
// 注册短代码
add_shortcode('oped_postcode_form', 'oped_postcode_form_function'); 
?>

修改说明：

• 将提交方法改为post，与后端逻辑匹配
• 给输入框添加name="PLZ"，确保参数能正常传递
• 给按钮添加type="submit"明确类型，可选添加required增强前端验证

2. 处理代码（action.php）修正 #

<?php
// 引入WordPress核心加载文件，避免冗余冲突
require('../../../wp-load.php');

if(isset($_POST['submit']) && !empty($_POST['PLZ'])) {
    global $wpdb;
    $customerTable = $wpdb->prefix . 'customer'; // 使用WPDB内置前缀属性更规范
    $PLZ = sanitize_text_field($_POST['PLZ']); // 先过滤用户输入

    // 使用WPDB预处理语句，彻底避免SQL注入
    $search_result = $wpdb->get_row(
        $wpdb->prepare(
            "SELECT Link FROM $customerTable WHERE PLZ = %s",
            $PLZ
        )
    );

    if($search_result && !empty($search_result->Link)) {
        // 使用WordPress内置跳转函数，跳转后必须终止脚本
        wp_redirect($search_result->Link);
        exit;
    } else {
        // 无匹配结果时跳转回表单并携带标识
        wp_redirect(add_query_arg('no_match', '1', $_SERVER['HTTP_REFERER']));
        exit;
    }
} else {
    // 参数缺失时跳转回表单页面
    wp_redirect($_SERVER['HTTP_REFERER']);
    exit;
}
?>

修改说明：

• 改用wp-load.php加载WordPress核心，避免加载冲突
• 增加输入非空判断，确保用户提交了有效内容
• 使用$wpdb->prefix替代手动拼接表前缀，符合WordPress开发规范
• 用sanitize_text_field过滤输入+$wpdb->prepare预处理，彻底规避SQL注入风险
• 使用get_row获取单条结果（PLZ应为唯一值），避免多次跳转
• 用wp_redirect替代原生header，兼容WordPress环境，跳转后必须用exit终止脚本
• 移除所有可能导致Header发送失败的输出，改用跳转处理异常情况

内容的提问来源于stack exchange，提问作者kenza