本文详解如何在 wordpress 短代码插件中安全地捕获 get 表单数据、赋值给 php 变量，并通过 `echo` 动态输出，重点解决因缺少表单容器和未校验提交状态导致的变量为空问题。
在 WordPress 插件开发中，直接使用 $_GET["firstname"] 而不包裹在 <form> 标签内，或未判断表单是否已提交，是初学者最常见的错误——这会导致 PHP 在页面首次加载时就尝试读取尚未存在的 $_GET 参数，从而触发 Notice: Undefined index 错误，甚至使 $firstname 为空字符串或 null，最终输出 “You wrote: ” 后无内容。
✅ 正确做法包含三个关键步骤：
- 包裹输入字段于 <form> 标签中，并明确指定 method="GET"（与后续读取方式一致）；
- 为提交按钮添加 name 属性（如 name="send_btn"），以便通过 isset($_GET['send_btn']) 准确判断用户是否已点击提交；
- 仅在表单提交后才读取并显示数据，避免页面初始化时执行无效赋值。
以下是可直接集成到 WordPress 插件文件中的完整、安全示例代码：
<?php
/**
* Plugin Name: Simple Form Shortcode
* Description: A minimal shortcode to capture and display user input.
*/
function addContent() {
// 输出 HTML 表单（GET 方法）
echo '<form method="GET">';
echo ' <label for="firstname">First Name:</label>';
echo ' <input type="text" id="firstname" name="firstname" value="' . esc_attr( $_GET['firstname'] ?? '' ) . '" />';
echo ' <input type="submit" name="send_btn" value="Submit" />';
echo '</form>';
// ✅ 仅当表单提交后才处理数据
if ( isset( $_GET['send_btn'] ) && ! empty( $_GET['firstname'] ) ) {
// 使用 esc_html() 防止 XSS，确保输出安全
$firstname = sanitize_text_field( $_GET['firstname'] );
echo '<p>You wrote: <strong>' . esc_html( $firstname ) . '</strong></p>';
}
}
add_shortcode( 'addContent', 'addContent' );? 重要注意事项：
- 永远不要在未校验前提下直接访问 $_GET 或 $_POST —— 必须用 isset() + !empty()（或更严格的验证）兜底；
- 务必对用户输入进行过滤与转义：sanitize_text_field() 清理输入，esc_html() 安全输出，防止跨站脚本（XSS）攻击；
- 若需处理敏感或大量数据，建议改用 POST 方法 + wp_nonce_field() 实现 CSRF 防护；
- 短代码函数中避免裸露 echo 多次拼接，生产环境推荐使用输出缓冲（ob_start()）或构建完整 HTML 字符串后统一返回。
通过以上结构化处理，你的短代码 [addContent] 就能在任意文章/页面中稳定运行：首次访问显示空白表单，提交后精准显示经净化的用户输入——兼顾功能性、安全性与 WordPress 最佳实践。
