WordPress多网络子域请求密码重置时主域同步发邮件如何解决

核心诱因 #

出现该问题本质是多站点上下文隔离失效，触发重置逻辑时没有限定当前访问站点范围，常见触发场景分四类：

• wp-config.php中认证Cookie常量硬编码为主域，导致所有子域的重置请求被主域的认证逻辑识别
• 核心密码重置钩子未绑定当前站点ID，匹配用户时遍历了整个多网络下同邮箱的所有用户记录，批量触发邮件
• 全局启用的SMTP插件、用户同步插件、单点登录插件自带全局用户通知逻辑，未区分子站请求上下文
• 同邮箱账号在主域、子域重复创建用户记录，一次请求匹配到两条有效用户身份

分步排查流程 #

• 先查根目录wp-config.php配置：搜索所有Cookie相关的define配置，重点确认COOKIE_DOMAIN值是否被写死为ABC.com，如果写死主域，所有子域的认证请求都会同步到主域上下文。
• 再做钩子触发日志校验：在子站主题的functions.php中临时挂载日志代码到retrieve_password钩子，打印触发时的get_current_blog_id()值，确认单次子域提交请求时，该钩子是否被主域、子域各触发一次。
• 逐次排查插件冲突：先禁用所有网络层面全局启用的邮件类、用户管理类、SSO类插件，每开启一个就测试一次子域密码重置流程，定位到具体触发异常的插件。
• 最后查数据库用户关联：打开数据库查看wp_users主表和各子站对应的wp_*_usermeta表，确认提交重置的邮箱，是否同时在主域、子域存在绑定的有效用户角色记录。

对应修复方案 #

• Cookie配置修复：如果是常量配置错误，将wp-config.php中Cookie相关配置替换为动态匹配当前域名的逻辑，代码放在/* That's all, stop editing! Happy publishing. */注释之前即可：

// 动态匹配当前访问域设置Cookie作用域，禁止跨子域共享认证Cookie
define('COOKIE_DOMAIN', $_SERVER['HTTP_HOST']);
define('COOKIEHASH', md5($_SERVER['HTTP_HOST']));
define('SITECOOKIEPATH', '/');

• 重置逻辑加站点隔离判断：如果是自定义代码/主题逻辑未做站点隔离，添加如下代码片段，阻止跨站触发重置邮件：

add_action('retrieve_password', function($user_login){
    $current_blog_id = get_current_blog_id();
    $user = get_user_by('login', $user_login);
    if(!$user) return;
    $user_primary_blog = get_user_meta($user->ID, 'primary_blog', true);
    // 非当前站点所属用户的重置逻辑，直接移除邮件发送动作
    if((int)$current_blog_id !== (int)$user_primary_blog){
        remove_all_actions('retrieve_password_notification', 10);
    }
}, 0, 1);

• 插件异常修复：定位到异常插件后，在插件的密码重置触发逻辑前增加站点ID判断，仅当请求所属站点ID和用户所属站点ID匹配时才发送邮件，删除插件中遍历全网络匹配同邮箱用户发信的逻辑。
• 冗余用户清理：如果是同邮箱重复绑定多站点记录导致的问题，保留各站点实际使用的有效用户记录，删除冗余的跨站用户绑定关系，避免单次请求匹配到多个用户身份重复发信。

所有文件、数据库修改操作前，必须先完成整站文件+数据库备份，避免操作失误导致站点故障。

内容的提问来源于stack exchange，提问作者Shijie Lee