WordPress主题内admin-post.php处理表单返回400错误如何解决

WordPress核心中wp-admin/admin-post.php处理表单请求时，会判定当前请求为后台管理上下文，此时is_admin()函数返回值为true。
绝大多数情况下该问题的触发原因是：主题的functions.php中为了避免后台加载前台业务逻辑，将自定义代码统一包裹在if ( ! is_admin() )的判断块内，这会导致admin_post_{$action}钩子的注册代码在admin-post请求场景下完全不执行。核心找不到对应action绑定的回调函数时，会直接返回400 Bad Request响应。
代码封装为插件时可以正常运行，是因为已启用插件的代码会全局加载，不受主题内自定义的is_admin()判断逻辑影响，钩子可以正常注册。
另外如果表单面向未登录用户开放，仅注册admin_post_{$action}钩子、未注册对应admin_post_nopriv_{$action}钩子时，未登录状态下提交也会触发400错误。

• 调整钩子注册代码的位置：不要将admin_post相关的钩子注册逻辑放在if ( ! is_admin() )判断块内，这类钩子需要全局注册，保证WordPress处理admin-post请求时能识别到绑定的回调。
• 兼容未登录用户场景：如果允许游客提交表单，需要同时注册登录、未登录两种状态下的钩子，绑定同一个处理函数即可：

// 登录用户提交回调
add_action( 'admin_post_our_action_hook', 'am_our_action_hook_function' );
// 未登录用户提交回调
add_action( 'admin_post_nopriv_our_action_hook', 'am_our_action_hook_function' );
function am_our_action_hook_function() {
    // 执行业务逻辑

    // 处理完成后务必做跳转终止程序，避免用户刷新页面重复提交
    wp_redirect( home_url( '/' ) );
    exit;
}

• 优化表单代码：不要硬编码admin-post.php的访问地址，使用WordPress原生函数动态生成路径，同时添加nonce校验提升请求安全性，避免跨站请求伪造：

<form action="<?php echo esc_url( admin_url( 'admin-post.php' ) ); ?>" method="post">
    <input type="hidden" name="action" value="our_action_hook">
    <?php wp_nonce_field( 'our_action_submit', 'action_nonce' ); ?>
    <input type="submit" value="Submit">
</form>

对应在回调函数中增加nonce校验逻辑：

function am_our_action_hook_function() {
    // 校验请求合法性
    if ( ! isset( $_POST['action_nonce'] ) || ! wp_verify_nonce( $_POST['action_nonce'], 'our_action_submit' ) ) {
        wp_die( '非法请求' );
    }

    // 执行业务逻辑

    wp_redirect( home_url( '/' ) );
    exit;
}

内容的提问来源于stack exchange，提问作者vwihw5xgpl