WooCommerce程序化创建当前产品订单的代码是否正确？

你的实现思路方向是对的，但代码里存在几个关键问题，会导致功能无法正常运行，甚至有安全隐患，下面逐一说明并给出修正方案：

1. 表单参数不匹配 #

你的按钮name="new_order"，但PHP代码里判断的是$_POST['action']，这样点击按钮后$_POST['action']根本不存在，new_order()函数完全不会被触发。

修正方案：
给表单添加隐藏字段传递action，或者直接修改按钮的name和value：

<!-- 方式1：添加隐藏字段（推荐，按钮文案可自定义） -->
<form method="post">
    <input type="hidden" name="action" value="new_order">
    <input type="submit" id="button" value="一键创建订单">
</form>

<!-- 方式2：直接修改按钮参数 -->
<form method="post">
    <input type="submit" id="button" name="action" value="new_order">
</form>

2. 未指定当前产品对象 #

get_product()需要传入产品ID才能获取有效产品对象，你现在的写法$order->add_product( get_product());会导致添加空产品，订单里不会有任何商品。

修正方案：
如果是在产品详情页实现功能，可以直接调用全局变量$product获取当前产品：

function new_order() { 
    global $woocommerce, $product; // 引入当前产品全局变量
    
    // 先检查产品是否有效
    if ( !$product || !is_a($product, 'WC_Product') ) {
        wp_die('无法识别当前产品，请重试');
    }

    // 后续代码...
    $order->add_product( $product, 1 ); // 第二个参数是购买数量，这里设为1
}

3. 未定义的变量会触发致命错误 #

代码里的$shippingName、$user_email_id等变量都没有赋值，直接使用会导致PHP报错，函数直接终止。

修正方案：
可以从当前登录用户的账户信息里获取这些值（如果是针对登录用户），或者让用户手动填写（如果需要自定义地址）：

// 示例：从当前登录用户获取地址信息
$current_user = wp_get_current_user();
$shippingName = $current_user->display_name;
$user_email_id = $current_user->user_email;
$billingPhone = get_user_meta( $current_user->ID, 'billing_phone', true );
// 其他地址字段同理，从用户的账单/配送地址元数据中读取
$shippingAddress = get_user_meta( $current_user->ID, 'billing_address_1', true );

4. 缺少安全验证（CSRF防护） #

直接处理POST请求但没有添加nonce验证，存在跨站请求伪造的风险，这是WordPress/WooCommerce开发的基本安全规范。

修正方案：
给表单添加nonce字段，然后在PHP中验证：

<!-- 表单中添加nonce -->
<form method="post">
    <?php wp_nonce_field( 'create_custom_order_nonce', 'order_nonce' ); ?>
    <input type="hidden" name="action" value="new_order">
    <input type="submit" id="button" value="一键创建订单">
</form>

// 在new_order函数开头验证nonce
function new_order() { 
    // 验证请求合法性
    if ( !isset($_POST['order_nonce']) || !wp_verify_nonce($_POST['order_nonce'], 'create_custom_order_nonce') ) {
        wp_die('非法请求，请返回重试');
    }

    // 后续代码...
}

5. 订单创建的优化建议 #

虽然wc_create_order()可以不传参数，但建议指定用户ID，让订单关联到用户账户，方便后续管理：

$current_user_id = get_current_user_id();
$order = wc_create_order( array('customer_id' => $current_user_id) );

完整修正后的示例代码 #

PHP部分 #

if (isset($_POST['action'])) { 
    switch ($_POST['action']) { 
        case 'new_order': 
            new_order(); 
            break; 
    } 
} 

function new_order() { 
    // 安全验证
    if ( !isset($_POST['order_nonce']) || !wp_verify_nonce($_POST['order_nonce'], 'create_custom_order_nonce') ) {
        wp_die('非法请求，请返回重试');
    }

    global $woocommerce, $product; 
    
    // 检查产品有效性
    if ( !$product || !is_a($product, 'WC_Product') ) {
        wp_die('无法找到当前产品，请重试');
    }

    // 检查用户是否登录
    $current_user = wp_get_current_user();
    if ( !$current_user->exists() ) {
        wp_die('请先登录再操作');
    }

    // 组装地址信息
    $address = array( 
        'first_name' => $current_user->display_name, 
        'email' => $current_user->user_email, 
        'phone' => get_user_meta($current_user->ID, 'billing_phone', true), 
        'address_1' => get_user_meta($current_user->ID, 'billing_address_1', true), 
        'address_2' => get_user_meta($current_user->ID, 'billing_address_2', true), 
        'city' => get_user_meta($current_user->ID, 'billing_city', true), 
        'state' => get_user_meta($current_user->ID, 'billing_state', true), 
        'postcode' => get_user_meta($current_user->ID, 'billing_postcode', true), 
        'country' => get_user_meta($current_user->ID, 'billing_country', true) ?: 'US'
    ); 

    // 创建关联用户的订单
    $order = wc_create_order( array('customer_id' => $current_user->ID) ); 
    if ( !$order ) {
        wp_die('订单创建失败，请稍后重试');
    }

    // 添加当前产品到订单
    $order->add_product( $product, 1 ); 
    // 设置账单和配送地址
    $order->set_address( $address, 'billing' ); 
    $order->set_address( $address, 'shipping' ); 
    // 计算订单总价
    $order->calculate_totals(); 
    // 更新订单状态为已完成
    $order->update_status( "completed", '通过自定义按钮创建的订单', TRUE ); 

    // 跳转到订单详情页
    wp_redirect( $order->get_view_order_url() );
    exit;
}

HTML按钮部分 #

<form method="post">
    <?php wp_nonce_field( 'create_custom_order_nonce', 'order_nonce' ); ?>
    <input type="hidden" name="action" value="new_order">
    <input type="submit" id="button" value="一键创建订单">
</form>

这样修改后，你的功能应该就能正常运行，同时也解决了安全和错误处理的问题。

内容的提问来源于stack exchange，提问作者user12090630