WordPress中admin-ajax.php触发20次200状态GET请求的排查修复

重复请求由前端事件绑定逻辑错误直接导致：

• 代码中无意义嵌套了$(".tabContent").each()遍历，当页面存在20个匹配.tabContent选择器的元素时，该循环会执行20次
• 循环内部每次都通过全局选择器$('.profileTabs ul li a')，给全页面所有选项卡元素追加1个click事件监听，最终每个选项卡被绑定了20个完全相同的AJAX触发回调
• 单次点击选项卡时，20个绑定的回调会依次执行，因此会发起20次完全相同的AJAX请求，与你观察到的现象完全吻合。

额外隐患：原有代码未做重复点击拦截，即使修复事件绑定问题，用户快速连续点击选项卡时依然会产生多余请求；后端代码未做权限、参数校验，存在未授权访问风险。

1. 修正前端事件绑定逻辑 #

移除外层无意义的.tabContent遍历循环，仅做1次全局事件绑定，同时增加加载状态锁避免重复点击触发请求，修复后代码如下：

// 移除外层$(".tabContent").each()遍历，仅初始化1次事件绑定
$('.profileTabs ul li a').on('click', function(e) {
    e.preventDefault();
    
    // 跳过默认随页面加载的Overview选项卡
    if($(this).text().trim().match('Overview')) {
        return false;
    }

    // 加锁防止重复点击触发请求
    const $currentTab = $(this);
    if ($currentTab.data('isLoading')) return false;
    $currentTab.data('isLoading', true);

    const tab_id = $currentTab.attr('href'); 
    const userid = $currentTab.attr('data-user');

    $.ajax({ 
        url: cyberAjax.ajaxurl,
        data: { 
            action: 'ajax_load_tabs',
            id: tab_id,
            userid: userid,
            // 后端加nonce校验时需要传该参数
            nonce: cyberAjax.nonce
        },
        success: function(data){
            $(tab_id).html(data);
        },
        error: function() {  
            console.log("选项卡加载失败");
        },
        complete: function() {
            // 请求完成后释放锁
            $currentTab.data('isLoading', false);
        }
    }); 
});

2. 后端接口安全加固（强烈建议） #

注意：私有CRM仪表盘不需要向未登录用户开放接口，务必移除wp_ajax_nopriv_开头的钩子注册，避免接口被恶意扫描调用，同时增加权限、参数校验逻辑，修复后代码如下：

// 替换原cyber_load_scripts函数，引入脚本时增加nonce校验值
function cyber_load_scripts() {
    wp_enqueue_script('cyber_script', get_stylesheet_directory_uri() . '/js/scripts.js', array('jquery'), false, true );
    wp_localize_script('cyber_script', 'cyberAjax', array(
        'ajaxurl' => admin_url('admin-ajax.php'),
        'nonce' => wp_create_nonce('cyber_load_tab_nonce')
    ));
}
add_action('wp_enqueue_scripts', 'cyber_load_scripts');

// 接口逻辑增加合法性校验
function ajax_load_tabs() {
    // 拦截未登录用户
    if (!is_user_logged_in()) {
        wp_send_json_error('无访问权限', 403);
    }
    // 校验请求合法性，防止CSRF攻击
    if (!isset($_REQUEST['nonce']) || !wp_verify_nonce($_REQUEST['nonce'], 'cyber_load_tab_nonce')) {
        wp_send_json_error('非法请求', 403);
    }
    // 校验参数格式，过滤非法输入
    $tab_id = isset($_REQUEST['id']) ? sanitize_text_field($_REQUEST['id']) : '';
    $user_id = isset($_REQUEST['userid']) ? absint($_REQUEST['userid']) : 0;
    if (empty($tab_id) || empty($user_id)) {
        wp_send_json_error('参数错误', 400);
    }

    // 原有模板加载逻辑
    if (str_contains($tab_id,'#onboarding')) {
        get_template_part( '/page-templates/dashboard/broker-dashboard', 'onboarding', array(
            'user_id' => $user_id,
        ));
    } elseif (str_contains($tab_id,'#tasks')) {
        get_template_part( '/page-templates/dashboard/broker-dashboard', 'tasks', array(
            'user_id' => $user_id,
        ));
    } elseif (str_contains($tab_id,'#incidents')) {
        get_template_part( '/page-templates/dashboard/broker-dashboard', 'incidents', array(
            'user_id' => $user_id,
        ));
    }
    die();
}
add_action('wp_ajax_ajax_load_tabs', 'ajax_load_tabs');
// 删除原有的wp_ajax_nopriv_ajax_load_tabs钩子注册，禁止未登录用户访问接口

3. 修复验证 #

打开浏览器开发者工具切换到网络面板，清空历史请求记录，单次点击非Overview选项卡，若XHR列表中仅出现1条admin-ajax.php请求且返回正常内容，即为修复完成。

内容的提问来源于stack exchange，提问作者IcedQuick