如何从WordPress数据库通过优惠码获取URL并在新窗口打开？

我来帮你一步步搞定这个需求～首先得先修正现有代码里的几个关键问题，再实现新窗口跳转的功能：

现有代码的核心问题 #

1. SQL注入风险：直接把用户输入的$q拼进SQL语句里，非常不安全，容易被恶意攻击。
2. 缺少结果处理逻辑：查询后没有判断是否找到对应URL，也没做跳转或提示的处理。
3. 后端跳转无法直接控制新窗口：PHP的header()跳转默认是在当前窗口打开，要实现新窗口需要前端JS配合，或者用AJAX方式更灵活。

方案一：PHP后端处理+JS跳转（简单易实现） #

1. 修改functions.php的代码 #

把原来的代码替换成下面的，要放到钩子里面（避免每次加载都执行），同时修复安全问题：

add_action('template_redirect', 'handle_coupon_redirect');
function handle_coupon_redirect() {
    // 检查是否有提交的优惠码
    if (isset($_GET['destination']) && !empty($_GET['destination'])) {
        global $wpdb;
        // 先过滤用户输入，防止恶意内容
        $coupon_code = sanitize_text_field($_GET['destination']);
        
        // 使用$wpdb->prepare防止SQL注入，这一步非常重要！
        $result = $wpdb->get_row($wpdb->prepare(
            "SELECT url FROM mytable WHERE target = %s",
            $coupon_code
        ));
        
        if ($result && !empty($result->url)) {
            // 用JS在新窗口打开URL，同时转义URL防止XSS
            echo '<script>window.open("' . esc_url($result->url) . '", "_blank");</script>';
        } else {
            // 没找到优惠码时的提示
            echo '<script>alert("抱歉，这个优惠码无效，请重新输入！");</script>';
        }
    }
}

2. 保持现有表单（或微调） #

你的表单可以继续用原来的，不过建议加上placeholder提示用户，体验更好：

<form method="get" id="searchform" action="">
    <input type="text" name="destination" id="destination" placeholder="请输入优惠码" value="" />
    <input type="submit" id="searchsubmit" value="GO" />
</form>

方案二：AJAX异步请求（推荐，页面不刷新） #

这种方式用户体验更好，提交后页面不会刷新，直接在后台查询并打开新窗口：

1. 修改表单代码 #

去掉method和action，添加提交事件监听：

<form id="coupon-form">
    <input type="text" name="destination" id="destination" placeholder="请输入优惠码" />
    <input type="submit" id="searchsubmit" value="GO" />
</form>

2. 添加JavaScript代码 #

可以把这段代码放到主题的自定义JS文件里，或者通过WordPress的钩子添加（比如在wp_footer里输出）：

document.getElementById('coupon-form').addEventListener('submit', function(e) {
    // 阻止表单默认提交行为
    e.preventDefault();
    
    const coupon = document.getElementById('destination').value.trim();
    if (!coupon) {
        alert('请先输入优惠码哦！');
        return;
    }
    
    // 发起AJAX请求到WordPress后台
    fetch('<?php echo admin_url('admin-ajax.php'); ?>', {
        method: 'POST',
        headers: {
            'Content-Type': 'application/x-www-form-urlencoded',
        },
        body: 'action=get_coupon_url&coupon=' + encodeURIComponent(coupon)
    })
    .then(response => response.json())
    .then(data => {
        if (data.success && data.url) {
            // 新窗口打开目标URL
            window.open(data.url, '_blank');
            // 可选：清空输入框
            document.getElementById('destination').value = '';
        } else {
            alert(data.message || '优惠码无效，请重新尝试！');
        }
    })
    .catch(error => {
        console.error('查询出错:', error);
        alert('查询失败，请稍后再试！');
    });
});

3. 在functions.php添加AJAX处理函数 #

// 允许未登录用户使用这个AJAX动作
add_action('wp_ajax_nopriv_get_coupon_url', 'get_coupon_url');
// 允许登录用户使用
add_action('wp_ajax_get_coupon_url', 'get_coupon_url');

function get_coupon_url() {
    // 检查是否有提交的优惠码
    if (!isset($_POST['coupon']) || empty($_POST['coupon'])) {
        wp_send_json_error(['message' => '请输入优惠码！']);
    }
    
    global $wpdb;
    $coupon_code = sanitize_text_field($_POST['coupon']);
    
    // 安全查询数据库
    $result = $wpdb->get_row($wpdb->prepare(
        "SELECT url FROM mytable WHERE target = %s",
        $coupon_code
    ));
    
    if ($result && !empty($result->url)) {
        // 返回成功结果和URL
        wp_send_json_success(['url' => esc_url($result->url)]);
    } else {
        wp_send_json_error(['message' => '无效的优惠码，请重新输入！']);
    }
}

关键注意事项 #

• 安全第一：永远要用$wpdb->prepare()处理SQL查询的参数，用sanitize_text_field()过滤用户输入，用esc_url()转义URL，防止SQL注入和XSS攻击。
• 测试边界情况：比如输入不存在的优惠码、空值，确保提示正常显示。

内容的提问来源于stack exchange，提问作者Astraport