WordPress中AJAX返回JavaScript报错问题求助

兄弟，看你贴的代码片段，问题主要出在SQL注入风险、JS语法转义错误还有WordPress AJAX的规范问题上，我给你一步步梳理并修正：

先说说你代码里的几个明显坑： #

• 直接把$_POST['value']拼进SQL语句，这不仅容易被注入，要是参数带特殊字符，直接就会导致SQL语法错误。
• 输出JS时写了$("#fs-adm").val("'<?php echo $fee->admission_fees; ?>'");，多套了一层单引号，而且如果费用值里有引号、换行这类特殊字符，直接就会把JS语法搞崩。
• 没正确处理WordPress AJAX请求的结束逻辑，也没设置正确的响应头，浏览器可能没法正确解析你返回的JS代码。

修正后的完整代码： #

function class_fees_settings(){
    global $wpdb;
    
    // 先检查必要参数是否存在，避免未定义索引报错
    if(!isset($_POST['value'])){
        wp_send_json_error('缺少班级ID参数');
        wp_die();
    }
    
    $class_id = $_POST['value'];
    $fees_table = $wpdb->prefix . "wpsp_fees_settings";
    
    // 用wpdb的prepare方法绑定参数，彻底防注入，还能保证SQL语法正确
    $sql_res = $wpdb->get_results(
        $wpdb->prepare("SELECT * FROM $fees_table WHERE cid = %d", $class_id)
    );
    
    // 把要执行的JS代码统一拼接，避免重复输出script标签
    $js_code = '';
    foreach ($sql_res as $fee) :
        // 用esc_js转义字符串，防止特殊字符破坏JS语法
        $admission_fees = esc_js($fee->admission_fees);
        $js_code .= "$('#fs-adm').val('$admission_fees');\n";
        
        // 补全你没写完的tuition fees部分（假设字段是tuition_fees）
        if(isset($fee->tuition_fees)){
            $tuition_fees = esc_js($fee->tuition_fees);
            $js_code .= "$('#fs-tu').val('$tuition_fees');\n";
        }
    endforeach;
    
    // 设置正确的响应头，告诉浏览器这是JS代码
    header('Content-Type: application/javascript');
    echo $js_code;
    
    // 必须调用wp_die结束AJAX请求，这是WordPress的规范
    wp_die();
}

额外的关键注意事项： #

1. 注册AJAX动作：别忘了在functions.php里注册你的AJAX处理函数，不然请求找不到对应的逻辑：

add_action('wp_ajax_class_fees_settings', 'class_fees_settings');
// 如果需要允许未登录用户访问，加上下面这行
// add_action('wp_ajax_nopriv_class_fees_settings', 'class_fees_settings');

2. 前端AJAX请求设置：确保前端请求的dataType设为script，这样jQuery会自动执行返回的JS代码：

$.ajax({
    url: ajaxurl, // WordPress全局变量，指向后台AJAX地址
    type: 'POST',
    data: {
        action: 'class_fees_settings',
        value: 你的班级ID变量
    },
    dataType: 'script',
    success: function(){
        console.log('费用设置已更新');
    },
    error: function(xhr, status, error){
        console.error('请求出错:', error);
    }
});

这样改完之后，SQL注入的风险没了，JS语法也不会因为特殊字符报错，AJAX响应也能被浏览器正确解析执行了。

内容的提问来源于stack exchange，提问作者Waeez