PHP中$_POST登录WordPress正常，$_GET方式失效求助

首先必须严肃提醒：永远不要用GET方式传递用户名和密码！GET参数会被记录在服务器访问日志、浏览器历史、书签甚至网络传输链路中，这是极其严重的安全漏洞，会直接导致用户账号被盗。这也是WordPress默认不支持GET方式登录的核心原因之一。

回到你的问题，GET方式无法完成登录的主要原因有以下几点：

1. WordPress核心的安全限制 #

WordPress的wp_signon()函数及相关登录逻辑，默认是为POST请求设计的。由于登录属于敏感操作，核心内部存在隐性的安全检查（比如通过钩子或请求方法判断），会拒绝处理GET请求的登录操作——哪怕你正确传递了参数，也无法完成认证流程。

2. Cookie设置的上下文问题 #

当你通过GET请求执行登录并跳转时，wp_set_auth_cookie()设置的认证Cookie可能因为GET请求的上下文，无法被浏览器正确保存或携带到跳转后的wp-admin页面。浏览器对GET请求下设置的Cookie有更严格的限制（比如SameSite属性的影响），会导致跳转后认证状态直接丢失。

可行的修复方案（仅作技术探讨，强烈不推荐在生产环境使用） #

如果因特殊需求一定要实现（再次强调：这种方式极不安全），可以绕过wp_signon()，直接验证密码并手动建立会话：

<?php
/**
 * custom log in functionality - 仅作技术演示，请勿在生产环境使用！
 */
//load wordpress
if (file_exists($_SERVER['DOCUMENT_ROOT'] . '/wp-load.php')) {
 require_once($_SERVER['DOCUMENT_ROOT'] . '/wp-load.php');
}

if ( !isset($_GET["email"]) || !isset($_GET["password"]) ) {
 echo "no user or pass set";
 return;
}

// 查找用户
if (is_email($_GET['email'])) {
 $user = get_user_by('email', $_GET['email']);
 if (empty($user)) {
 echo "no user email set";
 exit;
 }
} else {
 $user = get_user_by('login', $_GET['email']);
 if (empty($user)) {
 echo "no username set";
 exit;
 }
}

// 手动验证密码
if ( !wp_check_password( $_GET['password'], $user->user_pass, $user->ID ) ) {
 echo "login error";
 exit;
}

// 手动设置用户会话和Cookie
wp_set_current_user($user->ID);
wp_set_auth_cookie($user->ID, true); // 第二个参数对应remember选项
do_action('wp_login', $user->user_login, $user); // 触发登录钩子，确保核心逻辑执行

$user_admin_url = get_blogaddress_by_id($user->primary_blog) . 'wp-admin/';
wp_redirect($user_admin_url);
exit;
?>

重要安全提醒 #

• 再次强调：禁止使用GET方式传递敏感凭证，这会直接将用户密码暴露在多个公开场景中，违反最基本的Web安全规范。
• 即便修复了功能，这种实现方式也会让你的网站面临极高的被攻击风险，建议立即放弃该方案，改用POST请求完成登录。

内容的提问来源于stack exchange，提问作者caffeinehigh