WordPress自定义页面实现从$_GET路径上传文件至服务器

嘿，哥们儿，先给你敲个警钟：你现在直接用$_GET获取文件路径的做法极度危险，很容易被黑客利用路径遍历攻击——比如传入../../wp-config.php就能直接读取甚至覆盖你的敏感配置文件，绝对不能这么干。下面给你一套安全且符合WordPress规范的实现方案：

核心安全原则 #

• 绝不信任用户传入的任何路径，必须做严格的白名单校验
• 用WordPress内置的安全机制（比如nonce）验证请求合法性
• 依赖WP原生的文件处理函数，避免自己造轮子带来的安全漏洞

完整代码实现（customUpload.php） #

<?php
// 开启错误调试（生产环境请关闭）
ini_set('display_errors', 1);
ini_set('display_warnings', 1);
error_reporting(E_ALL);

// 加载WordPress核心
require_once(dirname(__FILE__) . '/wp-config.php');
require_once(ABSPATH . '/wp-admin/includes/file.php');
require_once(ABSPATH . '/wp-admin/includes/media.php');
require_once(ABSPATH . '/wp-admin/includes/image.php');

// 只允许POST请求（GET请求不适合上传操作，风险极高）
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    wp_send_json_error('仅支持POST请求', 405);
}

// 验证WordPress nonce，防止CSRF攻击
if (!isset($_POST['upload_nonce']) || !wp_verify_nonce($_POST['upload_nonce'], 'custom_file_upload')) {
    wp_send_json_error('请求验证失败', 403);
}

// 限定允许上传的目标目录（这里用WP默认上传目录，你可以根据需求修改）
$allowed_dir = wp_upload_dir()['basedir'];
// 可选：如果要限定子目录，比如uploads/custom_files/
// $allowed_dir = trailingslashit(wp_upload_dir()['basedir']) . 'custom_files/';
// 确保目录存在，不存在则创建
if (!file_exists($allowed_dir)) {
    wp_mkdir_p($allowed_dir);
}

// 获取上传的文件（注意：这里是通过POST的文件域上传，不是GET路径！）
// 前端需要用form表单或FormData发送文件，name属性为'custom_upload_file'
if (!isset($_FILES['custom_upload_file'])) {
    wp_send_json_error('未检测到上传文件', 400);
}

// 处理文件上传，使用WP原生函数
$upload_overrides = array(
    'test_form' => false, // 跳过WP默认的表单验证
    'upload_dir' => $allowed_dir // 指定上传目录
);

$upload_result = wp_handle_upload($_FILES['custom_upload_file'], $upload_overrides);

if ($upload_result && !isset($upload_result['error'])) {
    // 上传成功，可以在这里添加额外逻辑，比如更新数据库记录
    wp_send_json_success(array(
        'file_url' => str_replace(wp_upload_dir()['basedir'], wp_upload_dir()['baseurl'], $upload_result['file']),
        'file_path' => $upload_result['file']
    ), 200);
} else {
    wp_send_json_error('上传失败：' . $upload_result['error'], 500);
}

前端调用示例（可选） #

如果你需要前端页面触发上传，可以用简单的HTML表单：

<form action="/customUpload.php" method="post" enctype="multipart/form-data">
    <?php wp_nonce_field('custom_file_upload', 'upload_nonce'); ?>
    <input type="file" name="custom_upload_file" required>
    <button type="submit">上传文件</button>
</form>

关键说明 #

1. 为什么不用GET传路径？：GET请求的参数会暴露在URL里，而且容易被篡改，上传操作必须用POST请求，并且通过文件域传递文件内容，而不是路径。
2. Nonce验证：这是WordPress防止跨站请求伪造的核心手段，必须加上，避免恶意网站伪造请求。
3. 目录限制：通过upload_dir限定上传目录，确保文件只能传到你允许的位置，杜绝路径遍历。
4. WP原生函数：wp_handle_upload会自动处理文件类型校验、文件名冲突、权限设置等问题，比自己写原生PHP上传安全得多。

内容的提问来源于stack exchange，提问作者Achayan