WordPress表单通过CURL提交到远程PHP无响应，求故障排查

核心问题列表 #

• 表单action配置错误：当前表单action填写了远程服务器地址，点击提交后会直接跳转至远程地址，根本不会执行当前WordPress页面内的curl请求逻辑，自然拿不到返回结果。
• 传参逻辑错误：curl提交的QUERY参数值写死为字符串testo_messaggio，没有实际读取用户在文本框输入的内容。
• 缺少错误校验逻辑：curl请求失败、参数为空时没有任何提示，无法定位问题。
• 存在安全隐患：未做表单校验、输出未转义，容易出现CSRF、XSS攻击。

修复后的代码 #

WordPress端代码 #

<?php 
// 表单action留空，提交后在当前页面处理逻辑
echo "<form action='' method='post'>";
// 加WordPress nonce校验防止CSRF
wp_nonce_field('submit_ask_form', 'ask_nonce');
echo "<textarea rows='10' cols='100' name='testo_messaggio' placeholder='Ask me anything!' required></textarea><br/>";
echo "<input type='submit' name='tasto_invia' value='Invia'/>";
echo "</form>";

echo "<div id='risposta'>";
if (isset($_POST["tasto_invia"]) && wp_verify_nonce($_POST['ask_nonce'], 'submit_ask_form')) {
    // 读取并 sanitize 用户输入的内容
    $user_input = sanitize_textarea_field($_POST['testo_messaggio']);
    $post = [
        'QUERY' => $user_input,
    ];

    $ch = curl_init('http://xxx/sender.php');
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
    curl_setopt($ch, CURLOPT_POSTFIELDS, $post);
    // 加超时时间防止页面卡住
    curl_setopt($ch, CURLOPT_TIMEOUT, 10);
    // 如果远程是HTTPS，测试阶段可以临时开启下面两行忽略证书校验，生产环境建议配置正规证书
    // curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);
    // curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, false);

    $response = curl_exec($ch);
    // 捕获curl请求错误
    if(curl_errno($ch)) {
        echo '请求出错：' . curl_error($ch);
    } else {
        // 输出转义防止XSS攻击
        echo esc_html($response);
    }
    curl_close($ch);
}
echo "</div>";
?>

远程sender.php优化（可选） #

<?php
// 加判空逻辑避免未传参数时报错
if(isset($_POST["QUERY"])) {
    echo htmlspecialchars($_POST["QUERY"]);
} else {
    echo "参数为空";
}
?>

额外注意事项 #

• 把代码里的http://xxx/sender.php替换成你实际的远程接口地址
• 确认你的WordPress所在服务器允许向远程服务器发起curl请求，部分主机商可能默认封禁外网出站请求
• 如果远程服务器配置了跨域限制，需要将WordPress站点域名加入远程服务器的允许访问名单

内容的提问来源于stack exchange，提问作者LadyK