WordPress如何处理GET请求 拦截非法URL参数重定向

核心校验逻辑挂载在WordPressinit动作钩子上执行，该节点属于请求处理早期阶段，还未输出页面内容，不会出现跳转报错，性能损耗极低，不会影响站点正常访问速度。

部署方式 #

你可以选择以下任意一种方式添加代码：

• 打开当前启用主题/子主题的functions.php文件，将后续提供的代码粘贴到文件末尾保存
• 使用代码片段类插件添加代码，该方式不会因为主题更新导致自定义规则丢失

可直接使用的代码 #

// URL非法参数校验拦截
add_action('init', 'custom_validate_query_params');
function custom_validate_query_params() {
    // 跳过后台请求，避免影响管理后台正常操作
    if (is_admin()) {
        return;
    }

    // ========== 以下配置项可根据自身需求修改 ==========
    // 需要禁止的URL参数名列表，新增规则直接往数组里加参数名即可
    $banned_query_params = ['random', 'debug', 'test'];
    // 命中规则后跳转到的自定义页面地址
    $redirect_to = home_url('/access-blocked');
    // 重定向状态码：临时跳转用302，确认永久封禁该类访问可改成301
    $redirect_code = 302;
    // ========== 配置项结束 请勿修改下方逻辑 ==========

    foreach ($banned_query_params as $param) {
        // 只要请求携带对应参数（无论参数值是什么）就触发拦截
        if (isset($_GET[$param])) {
            wp_redirect($redirect_to, $redirect_code);
            exit; // 终止后续请求执行，必须加
        }
    }
}

配置&使用注意事项 #

• 新增禁止参数时，直接在$banned_query_params数组中追加字符串即可，支持同时配置任意多个拦截规则
• 重定向地址如果是站点首页，直接把$redirect_to值改成home_url()即可；如果需要跳转到其他地址直接填完整URL即可，注意不要填错地址导致跳转死循环
• 不要把WordPress核心自带的查询参数加入禁止列表，比如p、page_id、post_type、s这类核心参数，加了会导致文章、页面、搜索功能正常访问失效
• 规则配置完成后建议用无痕模式测试：手动输入带禁止参数的地址（比如你的域名/?random=abc），确认可以正常跳转，同时站点后台、普通无参数页面访问不受影响
• 如果需要做更细粒度的控制，比如仅当参数值匹配特定内容时才拦截，可以把判断条件改成if (isset($_GET[$param]) && $_GET[$param] == '需要拦截的参数值')

常见问题排查 #

• 规则不生效：优先清空站点缓存（页面缓存、CDN缓存）和浏览器本地缓存再测试，同时检查是否有安全类插件提前处理了URL请求，把自定义规则优先级调高即可
• 跳转报错：先确认$redirect_to对应的页面是已发布的公开状态，不存在访问权限限制；另外检查代码里wp_redirect后是否加了exit，没加会导致跳转逻辑不执行

内容的提问来源于stack exchange，提问作者Aftermaz