如何在 WordPress 自定义插件中正确获取并显示用户表单输入

本文详解如何在 wordpress 短代码插件中安全地捕获 get 表单数据、赋值给 php 变量，并通过 `echo` 动态输出，重点解决因缺少表单容器和未校验提交状态导致的变量为空问题。

在 WordPress 插件开发中，直接使用 $_GET[“firstname”] 而不包裹在

以下是可直接集成到 WordPress 插件文件中的完整、安全示例代码：

';     echo 'First Name:';     echo '';     echo'  ';     echo'';      // ✅ 仅当表单提交后才处理数据     if (isset( $_GET['send_btn'] ) && ! empty($_GET['firstname'] ) ) {// 使用 esc_html() 防止 XSS，确保输出安全         $firstname = sanitize_text_field($_GET['firstname'] );         echo'
You wrote: '. esc_html($firstname) .'
';     } } add_shortcode('addContent','addContent');

? 重要注意事项：

• 永远不要在未校验前提下直接访问 $_GET 或 $_POST —— 必须用 isset() + !empty()（或更严格的验证）兜底；
• 务必对用户输入进行过滤与转义：sanitize_text_field() 清理输入，esc_html() 安全输出，防止跨站脚本（XSS）攻击；
• 若需处理敏感或大量数据，建议改用 POST 方法 + wp_nonce_field() 实现 CSRF 防护；
• 短代码函数中避免裸露 echo 多次拼接，生产环境推荐使用输出缓冲（ob_start()）或构建完整 HTML 字符串后统一返回。

通过以上结构化处理，你的短代码 [addContent] 就能在任意文章 / 页面中稳定运行：首次访问显示空白表单，提交后精准显示经净化的用户输入——兼顾功能性、安全性与 WordPress 最佳实践。