WordPress 中 admin-ajax.php 返回 400 Bad Request，通常因 AJAX 动作钩子未在正确时机注册、请求参数缺失或 JS 端配置错误所致；本文详解定位与修复全流程，涵盖 PHP 钩子注册位置、非登录用户处理、数据安全校验及前端请求规范。
wordpress 中 `admin-ajax.php` 返回 400 bad request，通常因 ajax 动作钩子未在正确时机注册、请求参数缺失或 js 端配置错误所致；本文详解定位与修复全流程，涵盖 php 钩子注册位置、非登录用户处理、数据安全校验及前端请求规范。
在 WordPress 开发中，通过 admin-ajax.php 实现前端异步更新（如双击编辑表格字段）是常见需求，但极易因注册时机、权限逻辑或数据格式问题触发 HTTP 400 Bad Request。你遇到的问题核心在于：add_action() 钩子被错误地写在模板文件（如 page-work.php）中，而非主题的 functions.php 或插件主文件内 —— 这导致 WordPress 在 AJAX 请求生命周期中无法识别 wp_ajax_update_records 动作，从而返回 400。
✅ 正确做法：将钩子移至 functions.php
WordPress 的 AJAX 处理依赖 wp_ajax_{action} 和 wp_ajax_nopriv_{action} 钩子在 admin-ajax.php 初始化阶段即被注册。而模板文件仅在前台页面渲染时加载，此时 AJAX 请求早已进入独立上下文，钩子失效。因此必须将函数和 add_action() 移入 functions.php：
// 主题 functions.php 中添加（务必在 wp_enqueue_scripts 之后，且确保已启用）
function update_records() {
// 必须进行基础验证
if (!check_ajax_referer('dolly_nonce', 'security', false)) {
wp_die('Invalid nonce', '', ['response' => 403]);
}
// 防 SQL 注入：禁止直接拼接列名
$allowed_columns = ['status', 'customer_name', 'notes']; // 显式白名单
$upd_column = sanitize_key($_POST['upd_column']);
if (!in_array($upd_column, $allowed_columns)) {
wp_die('Invalid column', '', ['response' => 400]);
}
global $wpdb;
$table = $wpdb->prefix . 'reservations'; // 使用前缀，避免硬编码表名
$result = $wpdb->update(
$table,
[ $upd_column => sanitize_text_field($_POST['upd_value']) ],
[ 'ReservationID' => absint($_POST['record_id']) ],
[ '%s' ], // value 格式化
[ '%d' ] // where 条件格式化
);
if (false === $result) {
wp_die('Database update failed', '', ['response' => 500]);
}
wp_send_json_success(['message' => 'Updated successfully']);
}
add_action('wp_ajax_update_records', 'update_records');
add_action('wp_ajax_nopriv_update_records', 'update_records'); // 若需访客也可操作（谨慎！）
// 登录检查可合并进主函数，或单独提供 fallback
function please_login() {
wp_send_json_error(['message' => 'You must log in to work'], 401);
}
add_action('wp_ajax_nopriv_update_records', 'please_login');
⚠️ 注意：wp_ajax_nopriv_ 钩子名必须与 wp_ajax_ 后缀完全一致（此处均为 update_records），否则非登录用户请求仍会 400。
✅ 前端 JS：修正请求路径、参数与安全性
你原代码中存在多个关键问题：
- url: '../wp-admin/admin-ajax.php' 是相对路径，易出错；应使用 ajax_url.ajax_url；
- JSON.stringify() 导致 data 成为字符串而非键值对，PHP 无法解析 $_POST['action']；
- 缺少 nonce 校验，存在 CSRF 风险；
- 未处理 AJAX 错误响应。
修正后的 work.js（配合 wp_localize_script）：
jQuery(document).ready(function($) {
$('#work td').on('dblclick', function() {
const $td = $(this);
const text = $td.text().trim();
const headerName = $td.attr('headers');
$td.empty().append(
$('<input>', {
type: 'text',
value: text,
class: 'editable-input'
}).on('blur', function() {
const newVal = $(this).val();
const $tr = $(this).closest('tr');
const selectionID = $tr.find('td[headers="ReservationID"]').text().trim();
// 移除 input，恢复文本
$td.text(newVal);
// 发送 AJAX
$.post(ajax_url.ajax_url, {
action: 'update_records',
record_id: selectionID,
upd_column: headerName,
upd_value: newVal,
security: dolly_ajax.nonce // 由 wp_localize_script 注入
})
.done(function(response) {
if (response.success) {
console.log('✅ Update success:', response.data);
} else {
alert('Error: ' + (response.data?.message || 'Unknown'));
}
})
.fail(function(xhr) {
console.error('❌ AJAX Error:', xhr.status, xhr.statusText);
alert(`Request failed: ${xhr.status} ${xhr.statusText}`);
});
})
.focus()
);
});
});
✅ 正确注册脚本与 nonce（functions.php）
function enqueue_dolly_script() {
wp_register_script(
'dolly_script',
get_theme_file_uri('/work.js'), // 推荐使用 get_theme_file_uri()
['jquery'],
filemtime(get_theme_file_path('/work.js')), // 自动刷新缓存
true
);
// 生成并传递 nonce
$nonce = wp_create_nonce('dolly_nonce');
wp_localize_script('dolly_script', 'dolly_ajax', [
'nonce' => $nonce
]);
wp_enqueue_script('dolly_script');
}
add_action('wp_enqueue_scripts', 'enqueue_dolly_script');
✅ 关键总结与最佳实践
- 钩子位置决定成败：所有 wp_ajax_* 钩子必须置于 functions.php 或插件文件中，在 init 或更早时机注册（wp_enqueue_scripts 是安全时机）。
- 永远校验 nonce：防止跨站请求伪造，check_ajax_referer() 是强制要求。
- 列名绝不直传：用白名单限制可更新字段，杜绝 SQL 注入。
- 数据清洗不可省略：absint()、sanitize_text_field()、sanitize_key() 按需使用。
- 统一错误处理：使用 wp_send_json_error() / wp_send_json_success() 返回结构化 JSON，便于前端判断。
- 非登录用户逻辑清晰：若需支持访客操作，显式绑定 wp_ajax_nopriv_{action}；否则仅保留 wp_ajax_ 即可。
遵循以上结构，你的双击编辑功能将稳定运行，彻底告别 400 错误。
