17370845950

本文详解如何在 wordpress 短代码插件中安全地捕获 get 表单数据、赋值给 php 变量，并通过 `echo` 动态输出，重点解决因缺少表单容器和未校验提交状态导致的变量为空问题。

在 WordPress 插件开发中，直接使用 $_GET["firstname"] 而不包裹在

以下是可直接集成到 WordPress 插件文件中的完整、安全示例代码：

mple Form Shortcode
 * Description: A minimal shortcode to capture and display user input.
 */

function addContent() {
    // 输出 HTML 表单（GET 方法）
    echo '
';
    echo '  First Name:';
    echo '  ';
    echo '  ';
    echo '
';

    // ✅ 仅当表单提交后才处理数据
    if ( isset( $_GET['send_btn'] ) && ! empty( $_GET['firstname'] ) ) {
        // 使用 esc_html() 防止 XSS，确保输出安全
        $firstname = sanitize_text_field( $_GET['firstname'] );
        echo '
You wrote: ' . esc_html( $firstname ) . '
';
    }
}
add_shortcode( 'addContent', 'addContent' );

? 重要注意事项：

• 永远不要在未校验前提下直接访问 $_GET 或 $_POST —— 必须用 isset() + !empty()（或更严格的验证）兜底；
• 务必对用户输入进行过滤与转义：sanitize_text_field() 清理输入，esc_html() 安全输出，防止跨站脚本（XSS）攻击；
• 若需处理敏感或大量数据，建议改用 POST 方法 + wp_nonce_field() 实现 CSRF 防护；
• 短代码函数中避免裸露 echo 多次拼接，生产环境推荐使用输出缓冲（ob_start()）或构建完整 HTML 字符串后统一返回。

通过以上结构化处理，你的短代码 [addContent] 就能在任意文章/页面中稳定运行：首次访问显示空白表单，提交后精准显示经净化的用户输入——兼顾功能性、安全性与 WordPress 最佳实践。