本文介绍如何在 WooCommerce 中强制用户只能通过邮箱地址（而非用户名）重置密码，通过 WordPress 原生钩子拦截并校验 user_login 输入，确保非邮箱格式输入立即报错。
本文介绍如何在 woocommerce 中强制用户只能通过邮箱地址（而非用户名）重置密码，通过 wordpress 原生钩子拦截并校验 `user_login` 输入，确保非邮箱格式输入立即报错。
在默认的 WordPress 和 WooCommerce 密码找回流程中，用户既可输入用户名也可输入邮箱地址来触发重置。但出于安全与用户体验一致性考虑，许多站点希望仅允许邮箱作为重置凭证——这不仅能避免用户名泄露风险，还能统一身份标识逻辑（尤其当用户名不对外展示时）。实现该需求的关键在于拦截密码找回表单提交前的校验环节。
WordPress 核心在 wp-includes/user.php 第 2930 行提供了 lostpassword_errors 过滤器钩子，用于在系统执行默认校验（如检查用户是否存在）之前介入错误收集过程。而 WooCommerce 的「我的账户」页面（/myaccount/lost-password/）则使用 lostpassword_post 动作钩子（注意：此处为 action，非 filter），需特别适配。
以下是兼容标准 WordPress 登录页与 WooCommerce 账户页的完整解决方案：
// 同时适配 WordPress 默认找回页和 WooCommerce 我的账户页
add_filter( 'lostpassword_errors', 'wc_restrict_password_reset_to_email_only', 20, 2 );
add_action( 'lostpassword_post', 'wc_restrict_password_reset_to_email_only', 20, 2 );
function wc_restrict_password_reset_to_email_only( $errors, $user_data = null ) {
// 安全获取提交的 user_login 值
$user_login = isset( $_POST['user_login'] ) ? wp_unslash( trim( $_POST['user_login'] ) ) : '';
// 1. 必填校验
if ( empty( $user_login ) ) {
$errors->add( 'empty_username', __( '<strong>错误</strong>：请输入邮箱地址。', 'woocommerce' ) );
return $errors;
}
// 2. 强制邮箱格式校验（必须含 @ 符号且符合基础邮箱结构）
if ( ! is_email( $user_login ) ) {
$errors->add( 'invalid_input', __( '<strong>错误</strong>：请提供有效的邮箱地址。', 'woocommerce' ) );
return $errors;
}
// 3. 邮箱存在性校验（仅当无错误时才查询，提升性能）
$user_data = get_user_by( 'email', $user_login );
if ( ! $user_data ) {
$errors->add( 'invalid_email', __( '<strong>错误</strong>：未找到与此邮箱关联的账户。', 'woocommerce' ) );
}
return $errors;
}
✅ 关键优化说明：
- 使用 is_email() 替代简单的 strpos( $user_login, '@' )，避免误判（如 test@ 或 @domain.com 等非法格式）；
- 统一使用 add_filter + add_action 双注册，确保覆盖 WordPress 默认 /wp-login.php?action=lostpassword 与 WooCommerce /myaccount/lost-password/ 两种入口；
- 错误提示采用 WooCommerce 本地化文本域 'woocommerce'，便于多语言站点翻译；
- 所有输入均经 wp_unslash() 和 trim() 处理，防范空格干扰与转义异常。
⚠️ 注意事项：
- 请将代码添加至当前主题的 functions.php 文件，或更推荐的方式是封装为独立插件；
- 若启用双重认证（2FA）或第三方登录（如 Social Login），需额外验证其兼容性；
- 建议配合前端 JS 实时提示（如输入失去焦点时检测 @），提升用户体验，但后端校验不可省略——这是安全底线。
通过以上配置，用户在任何密码找回入口输入非邮箱内容（如用户名、手机号等）将立即收到明确错误提示，系统仅响应合法邮箱请求，显著增强账户安全性和流程可控性。
