wordpress中，短代码默认只在内容区域（如文章正文）自动执行，若直接写在html标签属性（如iframe的src）中则不会被解析；需使用do_shortcode()函数手动触发执行。
在WordPress主题模板或自定义PHP片段中嵌入iframe时，若希望其src属性动态加载用户自定义URL（例如通过短代码[cmruncode name='dash']获取作者主页链接），不能直接将短代码字符串写在HTML属性中，因为WordPress的短代码解析机制仅作用于the_content()等特定过滤器上下文，而
正确做法是：在PHP环境中显式调用do_shortcode()函数，将短代码字符串解析为实际结果，并将其安全输出至src属性中。示例如下：
<iframe src="<?php echo esc_url( do_shortcode( '[cmruncode name="dash"]' ) ); ?>" height="300" width="300" title="User Dashboard Preview" sandbox="allow-scripts allow-same-origin" loading="lazy"> </iframe>
⚠️ 关键注意事项：
- ✅ 必须使用do_shortcode()包裹短代码字符串，确保其被主动解析；
- ✅ 强烈建议配合esc_url()对输出结果进行URL转义，防止XSS风险或非法URL导致iframe加载失败；
- ✅ 若短代码返回空值或无效URL，请检查cmruncode插件逻辑及'dash'片段是否在当前上下文（如用户页面）中能正确获取$userID——推荐在短代码内部使用get_queried_object_id()或get_current_user_id()替代未定义的全局变量；
- ❌ 避免在src中直接写[cmruncode ...]，这在任何HTML属性中均无效；
- ? 出于安全考虑，建议为iframe添加sandbox属性（如示例所示），限制第三方脚本执行权限。
总结：短代码不是“万能占位符”，而是依赖WordPress钩子系统的解析功能。脱离标准内容渲染流程时，必须显式调用do_shortcode()并做好输出安全处理——这是实现动态iframe源地址的核心实践。
立即学习“PHP免费学习笔记（深入）”；
