本文详解如何安全增强 wordpress 原生搜索，使其不仅检索文章标题和正文内容，还能覆盖分类法（如分类目录、标签、自定义属性）中的术语，同时避免常见 sql 拼接错误导致内容搜索失效。
本文详解如何安全增强 wordpress 原生搜索，使其不仅检索文章标题和正文内容，还能覆盖分类法（如分类目录、标签、自定义属性）中的术语，同时避免常见 sql 拼接错误导致内容搜索失效。
WordPress 默认的 posts_search 过滤器仅对 post_title 和 post_content 执行模糊匹配，但许多主题或插件需要扩展搜索范围至分类术语（如产品属性、自定义分类法）。上述函数本意是添加术语匹配能力，却意外丢失了对 post_content 的搜索支持——根本原因在于三处关键逻辑缺陷：
- 参数引用误用：&$wp_query 是冗余且危险的引用传递，posts_search 钩子传入的是只读查询对象，无需引用修改；
- 清空原始搜索条件：$search = ''; 直接抹除了 WordPress 内置的 post_content LIKE ... 子句；
- 逻辑运算符错误：使用 AND 将新条件与原搜索强制“交集”，导致必须同时满足标题/术语 且 内容匹配才返回结果，实际应为 OR 并集以扩大匹配范围。
✅ 正确做法是保留原始 $search 字符串，并在其后追加扩展条件（用 OR 连接），确保内容搜索不被破坏。以下是修复后的完整实现：
function and_extend_search( $search, $wp_query ) {
global $wpdb;
// 仅在执行搜索时介入，避免影响非搜索请求
if ( empty( $search ) || ! is_admin() && ! isset( $wp_query->query_vars['s'] ) ) {
return $search;
}
$terms = $wp_query->query_vars['s'];
$exploded = explode( ' ', $terms );
// 处理单词为空或分割失败的情况
if ( false === $exploded || 0 === count( $exploded ) ) {
$exploded = array( $terms );
}
// 关键：不重置 $search，而是追加 OR 条件
foreach ( $exploded as $tag ) {
// 使用 %LIKE% 匹配标题 + 内容（保留原逻辑） + 分类术语
$search .= $wpdb->prepare(
" OR ( {$wpdb->posts}.post_title LIKE %s OR {$wpdb->posts}.post_content LIKE %s OR EXISTS (
SELECT 1 FROM {$wpdb->term_relationships} tr
INNER JOIN {$wpdb->term_taxonomy} tt ON tr.term_taxonomy_id = tt.term_taxonomy_id
INNER JOIN {$wpdb->terms} t ON tt.term_id = t.term_id
WHERE t.name LIKE %s AND tr.object_id = {$wpdb->posts}.ID
) )",
'%' . $wpdb->esc_like( $tag ) . '%',
'%' . $wpdb->esc_like( $tag ) . '%',
'%' . $wpdb->esc_like( $tag ) . '%'
);
}
return $search;
}
add_filter( 'posts_search', 'and_extend_search', 500, 2 );
⚠️ 重要注意事项：
- 安全性优先：已将 '%$tag%' 替换为 $wpdb->prepare() + $wpdb->esc_like()，彻底防止 SQL 注入；
- 性能考量：EXISTS 子查询比 JOIN 更高效，尤其在大数据量下；建议为 wp_terms.name 和 wp_term_relationships.object_id 添加数据库索引；
- 兼容性：此方案兼容 WordPress 5.0+，但若使用 REST API 搜索，请额外 hook rest_post_search_query；
- 调试技巧：启用 WP_DEBUG_LOG 后，可通过 error_log( $search ); 查看最终生成的 SQL，验证是否包含 post_content LIKE 子句。
通过以上修正，你的搜索将真正实现「标题 + 正文 + 分类术语」三重覆盖，既延续 WordPress 原生语义，又安全扩展业务需求。
