WordPress实现手机号替代用户名登录的插件开发问题咨询

• 靠“限制注册表单仅允许输数字、把数字当用户名替代手机号”的方案，技术上临时能跑，但完全不是最优解，是踩坑无数的补丁式实现。
• 这个方案的硬伤根本绕不开：
  • 直接把手机号绑死在WordPress核心的user_login字段上：这个字段是用户表的唯一索引，创建后不能随便改，而且默认会被作者归档页、评论链接、REST接口直接暴露，等于把用户手机号明文挂在站上等爬虫抓，合规风险拉满。
  • 完全没解决手机号二次放号的问题：前机主如果用这个号在你站注册过，新用户根本没法用同号注册，还会出现用户权限混淆的事故。
  • 维护成本极高：每次查用户、做登录校验，都要从user_login里抠手机号做匹配，还要处理用户输入时带的空格、+86前缀这些杂七杂八的问题，后续排查bug的时候逻辑链路绕到你头疼。
  • 前端的数字限制等于白做：攻击者直接抓包就能绕过前端提交非数字的用户名，就算你在后端加了过滤规则，也会出现普通用户输个带空格的号码就注册失败的问题，体验极差。

• 别跟user_login字段较劲：给这个字段留足兼容空间，新用户注册的时候自动生成无意义的随机串当user_login（比如wp_+8位随机字母数字组合），普通用户根本接触不到这个字段，从根源上避免敏感信息暴露。
• 用WordPress原生的user_meta表独立存手机号：给user_meta里的user_phone字段加唯一索引，所有手机号相关的逻辑全围绕这个字段做：
  1. 注册环节：直接把注册表单默认的“用户名”输入框藏了，前端只放手机号、密码、验证码三个输入项；后端先校验手机号格式，查有没有其他用户绑过这个号，没绑的话走短信验证码校验，过了之后自动建号，把加密后的手机号存到对应的meta字段里。
  2. 登录环节：挂钩WordPress的authenticate过滤器，把原来的“用户名+密码”校验逻辑替换掉：先匹配用户输的手机号对应的用户ID，找到对应用户之后，走原生的密码校验流程完成登录，完全不用改用户表的核心结构。
• 你说的“输入框仅允许输数字”，只需要作为手机号输入框的前端体验优化就行，根本不需要拿去卡WordPress的默认用户名输入框。

• 存在meta里的手机号别用明文，必须做可逆加密，校验的时候解密了再对比，不然数据库拖库了全用户的手机号都漏光。
• 绝对不能把原来的用户名/邮箱登录通道砍了，老用户升级插件之后要是登不上，后续的投诉量会直接超过你的维护承载力。
• 登录接口必须加频率限制：同一个手机号连续输错3-5次密码就临时锁10-15分钟，不然会被人撞库，扫出来一堆有效的手机号。
• 所有格式校验、重复注册校验必须在后端做，别只靠前端拦，不然迟早被人灌一堆垃圾注册数据。

内容的提问来源于stack exchange，提问作者Mohammed Ashour