WooCommerce中order_key是什么？它与订单id有什么区别？

核心定义 #

• id：WooCommerce 订单在网站数据库 wp_posts 表中的自增主键，本质是自定义文章类型 shop_order 对应的文章 ID，为纯数字格式，按订单创建顺序递增，全站唯一。
• order_key：订单创建时自动生成的随机唯一字符串，通常以 wc_ 为前缀，后续为10位左右加密随机字符，总长度固定13位左右，存储在 wp_postmeta 表的 _order_key 字段下，生成时会自动校验重复，不存在全局重复的情况。

二者同时存在的原因 #

两个属性的设计定位完全不同，解决的是两类完全独立的需求：

1. id 是系统内部的核心标识：作为数据库数字主键，查询、关联效率极高，用于支撑系统内部所有订单相关的数据操作。
2. order_key 是面向外部的安全校验标识：id 为顺序递增的纯数字，极易被枚举遍历，无法用于敏感场景的身份校验，而随机生成的order_key不可预测，刚好可以填补身份校验的安全缺口。

适用场景区分 #

• 优先使用 id 的场景：
  • 后台订单列表查询、批量操作、管理配置
  • 系统内部的订单关联查询（关联订单项、退款记录、物流信息、订单日志等）
  • 插件/主题内部的订单数据统计、批量遍历操作
  • 已登录用户的内部订单管理页（用户登录状态下已做权限校验，不需要额外用order_key验证身份）
• 优先使用 order_key 的场景：
  • 未登录用户的前台订单查询、支付页访问：WooCommerce 默认的订单查询、支付链接都会同时校验 id 和 order_key，仅知道id无法访问他人订单
  • 支付网关回调、Webhook 通知的身份校验：避免攻击者通过枚举id伪造回调请求，篡改订单状态
  • 外部系统对接、跨站点的订单身份校验：避免暴露站点内部的自增id规则，降低数据被爬取的风险
  • 订单分享链接、待付款提醒链接的身份标识：防止用户通过修改链接中的id参数访问他人的订单敏感信息

内容的提问来源于stack exchange，提问作者Hannes Hultergård