WordPress用户输入的短代码属性是否需要做转义处理？

首先明确结论：你的认知完全正确，所有来自用户输入的数据在作为参数传入短代码前，必须做sanitise（消毒/过滤）和转义处理，这是WordPress安全开发的硬性要求，不受第三方插件文档建议的影响。

核心原因 #

• 未经过滤的用户输入直接插入短代码属性，存在属性注入风险：如果用户输入的内容包含双引号、JS代码片段等特殊内容，会直接破坏短代码的结构，严重时会触发XSS跨站脚本漏洞，威胁站点安全。
• 即便插件内部本身有参数校验逻辑，调用方做前置过滤也属于安全纵深防御的必要环节，不会和插件内部的处理逻辑冲突，反而能进一步提升安全性。

关于你的处理方案 #

你目前的写法基本符合规范，用esc_html()转义参数的操作是有效的。如果要适配WordPress官方的最佳实践，针对搜索类的文本参数，更推荐使用sanitize_text_field()函数处理，同时把属性转义函数替换为更适配场景的esc_attr()：

$term = (isset($_GET['search'])) ? sanitize_text_field($_GET['search']) : '';
echo do_shortcode('[ajax_load_more id="relevanssi" search="'. esc_attr($term) .'"]');

sanitize_text_field()是WordPress官方推荐的文本类用户输入专用处理函数，会自动去除多余空格、HTML标签、无效特殊字符，而esc_attr()是专门用来转义HTML属性值的函数，比通用的esc_html()适配性更强。

内容的提问来源于stack exchange，提问作者jdawg