如何用WordPress短代码引入PHP文件/文件夹？相关函数及方案咨询

能否用短代码引入特定文件/整个文件夹？ #

• 特定文件：完全可以，你找到的代码已经能实现基础功能，但需要注意路径准确性和安全问题。
• 整个文件夹：默认短代码无法直接批量引入，需要额外编写遍历文件夹的逻辑，逐个引入里面的PHP文件。

关于get_theme_root()和get_template()的疑问 #

你混淆了两个函数的作用：

• get_theme_root() 返回的是所有WordPress主题的根目录路径（比如/wp-content/themes），这是存放所有主题的总文件夹，不是当前激活主题的具体路径。
• get_template() 返回的是当前激活主题的文件夹名称（比如twentytwentyfour）。
• 把两者拼接起来，才能得到当前主题的完整路径：/wp-content/themes/你的激活主题名/，这样才能准确找到你放在当前主题里的目标PHP文件。

另外，WordPress提供了更简洁的函数get_template_directory()，可以直接返回当前主题的完整路径，完全替代get_theme_root().'/'.get_template()的拼接写法。

优化后的代码与其他实现方法 #

1. 优化版：引入单个PHP文件的短代码 #

这个版本增加了安全检查、属性支持和错误提示，比原代码更实用：

/* 短代码：引入主题内单个PHP文件 */
function sc_include_file($atts, $content = null) {
    // 支持两种使用方式：[include-file]文件名.php[/include-file] 或 [include-file file="文件名.php"]
    $atts = shortcode_atts(array(
        'file' => trim($content),
    ), $atts);

    $file_path = get_template_directory() . '/' . trim($atts['file']);
    
    // 安全防护：禁止访问主题目录外的文件，防止路径遍历攻击
    if (!str_starts_with($file_path, get_template_directory())) {
        return '<p>安全提示：无法访问主题目录外的文件</p>';
    }

    if (is_file($file_path)) {
        ob_start();
        include($file_path);
        return ob_get_clean();
    } else {
        return '<p>错误：指定文件不存在</p>';
    }
}
add_shortcode('include-file', 'sc_include_file');

2. 引入整个文件夹的短代码 #

如果需要批量引入某个文件夹下的所有PHP文件，可以用这个短代码：

/* 短代码：引入主题内整个文件夹的PHP文件 */
function sc_include_folder($atts) {
    $atts = shortcode_atts(array(
        'folder' => '',
    ), $atts);

    $folder_path = get_template_directory() . '/' . trim($atts['folder']);
    
    // 安全检查：确认文件夹存在且在主题目录内
    if (!str_starts_with($folder_path, get_template_directory()) || !is_dir($folder_path)) {
        return '<p>错误：指定文件夹不存在或无访问权限</p>';
    }

    ob_start();
    // 遍历文件夹内的所有PHP文件（仅一级目录，如需递归引入子文件夹可修改逻辑）
    $files = glob($folder_path . '/*.php');
    foreach ($files as $file) {
        include($file);
    }
    return ob_get_clean();
}
add_shortcode('include-folder', 'sc_include_folder');

使用示例：[include-folder folder="includes/blocks"] 会引入主题下includes/blocks目录里的所有PHP文件。

重要安全提示 #

• 绝对不要允许引入主题目录以外的文件，避免攻击者通过路径遍历获取敏感文件（比如wp-config.php）。
• 只引入你自己编写或信任的PHP文件，防止执行恶意代码。
• 不要用@符号隐藏include的错误，方便调试定位问题。

内容的提问来源于stack exchange，提问作者John Lyons