WordPress如何将任意URL参数自动传递到页面内嵌iframe地址

结论 #

两种实现方式均支持：既可以无需预定义参数直接透传所有URL参数到iframe地址，也可以通过预先定义允许的参数白名单实现更安全的参数传递，可根据业务场景和安全要求选择。

方案1：无需预定义参数，透传所有URL参数 #

直接使用WordPress原生的add_query_arg()函数拼接所有当前页面的GET参数即可，代码示例如下：

<?php
// 获取当前页面所有GET参数
$current_query_params = $_GET;
// 处理iframe基础地址
$iframe_base_url = rtrim(get_field('iframe_url'), "/");
// 拼接参数到iframe地址
if (!empty($current_query_params)) {
    $iframe_url = add_query_arg($current_query_params, $iframe_base_url);
} else {
    $iframe_url = $iframe_base_url;
}
?>
<!-- 输出iframe代码 -->
<iframe src="<?php echo esc_url($iframe_url); ?>"></iframe>

注意：该方案存在一定安全风险，恶意用户可构造特殊参数传入iframe地址，可能触发iframe站点的异常逻辑或安全漏洞，仅建议在内部系统或完全可控的场景下使用。

方案2：预定义允许传递的参数（更推荐） #

通过参数白名单过滤，仅传递业务需要的参数，安全性更高，代码示例如下：

<?php
// 自定义允许传递的参数白名单
$allowed_params = ['asset_id', 'source', 'version'];
// 过滤得到合法参数
$filtered_params = [];
foreach ($allowed_params as $param_key) {
    if (isset($_GET[$param_key])) {
        $filtered_params[$param_key] = $_GET[$param_key];
    }
}
// 处理iframe基础地址
$iframe_base_url = rtrim(get_field('iframe_url'), "/");
// 拼接参数
$iframe_url = add_query_arg($filtered_params, $iframe_base_url);
?>
<!-- 输出iframe代码 -->
<iframe src="<?php echo esc_url($iframe_url); ?>"></iframe>

内容的提问来源于stack exchange，提问作者tobiasg