WordPress插件开发发送AJAX请求的最佳实践相关问题咨询

1. 直接向自定义插件文件发送AJAX请求的潜在问题 #

• 安全漏洞：直接请求插件文件默认会跳过WordPress核心的权限校验、CSRF防护逻辑，攻击者可以轻易构造请求执行未授权操作，比如你示例中的删除功能，未做校验的情况下访客也能随意删除你的项目数据。
• 兼容性差：多数WordPress安全插件会默认拦截对插件目录下PHP文件的直接访问，不同站点的文件权限、目录结构配置也存在差异，很容易出现请求403、404的问题。
• 维护成本高：你需要手动处理WordPress核心环境的加载逻辑，后续WordPress核心版本更新如果调整了加载规则，你的代码会直接失效，同时这种非标准实现也会提升后续维护人员的理解成本。
• 稳定性低：直接请求admin.php带自定义参数的方式，会触发完整的后台页面初始化逻辑，多余的加载逻辑会拖慢请求速度，还可能和其他插件的后台逻辑产生冲突。

2. 改用admin-ajax.php的代码放置规范 #

2.1 JavaScript 代码 #

可以选择两种存放方式：

• 直接内嵌到插件后台的页面模板中，通过wp_add_inline_script()方法挂载到jQuery依赖后输出
• 单独存放在插件目录下的JS文件中，通过wp_enqueue_script()在对应后台页面加载

建议使用独立JS文件的方式，更利于代码维护，示例JS代码如下：

// ajax_object 是PHP端注入的全局变量，包含请求地址和校验参数
$.get(ajax_object.ajax_url, {
    action: 'delete_sample_project',
    id: '01',
    nonce: ajax_object.delete_nonce
}, function(res) {
    if(res.success) {
        // 处理删除成功逻辑
    } else {
        // 处理错误逻辑
    }
})

2.2 PHP 代码 #

所有相关逻辑都可以放在插件主入口文件中，也可以拆分到独立的逻辑文件（需要被主入口引用加载），分为两部分：

1. 资源加载与变量注入逻辑

add_action('admin_enqueue_scripts', 'load_sample_project_assets');
function load_sample_project_assets($hook) {
    // 仅在你的插件后台页面加载资源，避免污染其他后台页面
    if ($hook !== 'toplevel_page_sample_projects') {
        return;
    }
    // 加载独立JS文件
    wp_enqueue_script(
        'sample-project-js',
        plugin_dir_url(__FILE__) . 'js/script.js',
        ['jquery'],
        '1.0',
        true
    );
    // 注入AJAX需要的全局变量
    wp_localize_script('sample-project-js', 'ajax_object', [
        'ajax_url' => admin_url('admin-ajax.php'),
        'delete_nonce' => wp_create_nonce('delete_project_check')
    ]);
}

2. AJAX请求处理逻辑

// 注册登录用户可用的AJAX接口，仅后台用的话不需要加nopriv钩子
add_action('wp_ajax_delete_sample_project', 'handle_delete_project');

function handle_delete_project() {
    // 先做权限和nonce校验，必须做，防止恶意请求
    if (
        empty($_GET['nonce']) ||
        !wp_verify_nonce($_GET['nonce'], 'delete_project_check') ||
        !current_user_can('manage_options')
    ) {
        wp_send_json_error('权限校验失败', 403);
    }
    // sanitize处理输入参数
    $project_id = sanitize_text_field($_GET['id']);
    // 这里写你的删除逻辑
    wp_send_json_success('删除成功');
}

内容的提问来源于stack exchange，提问作者Rishi