求助：使用WordPress向数据库添加文章失败，已尝试修改主题相关文件

咱们先理清楚核心逻辑：WordPress本身提供了成熟的AJAX机制和REST API，直接硬写XMLHTTPRequest对接数据库很容易踩安全、权限、数据验证的坑。既然你已经尝试修改Twenty Seventeen主题的文件，咱们一步步来排查问题：

1. 先确认AJAX请求的基础配置是否正确 #

后端（functions.php）必须注册合法的AJAX动作 #

WordPress要求所有AJAX请求必须通过wp_ajax_/wp_ajax_nopriv_钩子注册处理函数，并且必须做安全验证，比如：

// 登录用户可调用的AJAX动作
add_action('wp_ajax_add_custom_post', 'handle_add_custom_post');
// 未登录用户可调用（如果需要开放此权限）
add_action('wp_ajax_nopriv_add_custom_post', 'handle_add_custom_post');

function handle_add_custom_post() {
    // 验证安全nonce，这是WordPress强制的安全机制，缺省直接拦截请求
    check_ajax_referer('add_post_nonce', 'security');

    // 清洗用户输入，避免XSS和非法数据
    $title = sanitize_text_field($_POST['post_title']);
    $content = wp_kses_post($_POST['post_content']);

    // 准备文章参数
    $post_args = array(
        'post_title'    => $title,
        'post_content'  => $content,
        'post_status'   => 'publish', // 可选draft/pending等状态
        'post_type'     => 'post' // 自定义文章类型可替换为对应slug
    );

    // 用WordPress原生函数插入文章，不要自己写SQL！
    $post_id = wp_insert_post($post_args);

    // 返回JSON格式的响应
    if ($post_id && !is_wp_error($post_id)) {
        wp_send_json_success(array('post_id' => $post_id));
    } else {
        $error_msg = is_wp_error($post_id) ? $post_id->get_error_message() : 'Failed to create post';
        wp_send_json_error(array('message' => $error_msg));
    }

    wp_die(); // 必须添加，终止AJAX请求，避免输出多余内容
}

前端（assets/js）请求必须符合规范 #

你的XMLHTTPRequest代码需要注意几个关键点：

// 先获取页面中输出的nonce和AJAX地址（建议通过wp_localize_script传递，避免硬写路径）
const ajaxUrl = document.getElementById('ajax-url').value;
const nonce = document.getElementById('add-post-nonce').value;

const xhr = new XMLHttpRequest();
xhr.open('POST', ajaxUrl, true);
// 设置正确的请求头，表单数据必须用这个Content-Type
xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');

xhr.onload = function() {
    if (xhr.status === 200) {
        const response = JSON.parse(xhr.responseText);
        if (response.success) {
            console.log('文章创建成功！ID:', response.data.post_id);
        } else {
            console.error('创建失败:', response.data.message);
        }
    } else {
        console.error('请求失败，状态码:', xhr.status);
    }
};

// 构造请求数据，必须包含action字段（对应后端注册的动作名）
const formData = `action=add_custom_post&security=${nonce}&post_title=测试标题&post_content=测试内容`;
xhr.send(formData);

页面（index.php）需要输出安全验证所需的nonce #

在index.php的合适位置添加：

<?php
// 输出AJAX地址和nonce，供前端JS调用
echo '<input type="hidden" id="ajax-url" value="' . admin_url('admin-ajax.php') . '">';
echo '<input type="hidden" id="add-post-nonce" value="' . wp_create_nonce('add_post_nonce') . '">';
?>

2. 检查主题文件修改是否生效 #

• 强制刷新缓存：修改JS或PHP后，按住Ctrl+F5刷新浏览器，避免浏览器缓存旧文件；
• 确认JS文件被正确加载：在functions.php中用wp_enqueue_script加载你的自定义JS，而不是直接在index.php里写<script>标签：

  function enqueue_custom_post_script() {
      wp_enqueue_script(
          'custom-add-post',
          get_template_directory_uri() . '/assets/js/add-post.js',
          array('jquery'), // 依赖jQuery（可选）
          '1.0',
          true // 放在页面底部加载，优化性能
      );
  }
  add_action('wp_enqueue_scripts', 'enqueue_custom_post_script');
  

• 重新激活主题：在WordPress后台「外观」→「主题」中，先切换到其他主题再切回Twenty Seventeen，确保修改的functions.php被重新加载。

3. 查看错误日志定位问题 #

• 开启WordPress调试模式：在wp-config.php中添加以下代码，生成详细错误日志：

  define('WP_DEBUG', true);
  define('WP_DEBUG_LOG', true);
  define('WP_DEBUG_DISPLAY', false); // 不在前端显示错误，避免泄露信息
  

  然后查看wp-content/debug.log文件，里面会记录PHP代码的错误（比如wp_insert_post失败的具体原因）；
• 浏览器开发者工具排查：按F12打开开发者工具，切换到「网络」标签，找到你的AJAX请求，查看响应内容——403状态码通常是nonce验证失败，500状态码是后端PHP代码出错，200状态码但返回错误则是业务逻辑问题。

4. 避坑提醒：不要直接操作数据库 #

绝对不要自己写SQL语句插入wp_posts表，WordPress的wp_insert_post会自动处理文章元数据、权限验证、钩子触发等逻辑，直接操作数据库会导致数据不一致，且存在严重安全风险。

内容的提问来源于stack exchange，提问作者Sami MAAZAOUI