本文详解如何正确捕获 Contact Form 7 的 [select] 字段值（如城市选项），并通过 wpcf7_before_send_mail 钩子将其安全写入 WordPress 外部的自定义 MySQL 数据库，避免因数组结构误读或未过滤导致的数据丢失或 SQL 风险。
本文详解如何正确捕获 contact form 7 的 `[select]` 字段值（如城市选项），并通过 `wpcf7_before_send_mail` 钩子将其安全写入 wordpress 外部的自定义 mysql 数据库，避免因数组结构误读或未过滤导致的数据丢失或 sql 风险。
Contact Form 7 的
此外，直接使用原始 $_POST 数据存在安全隐患：即使前端是下拉菜单，攻击者仍可通过构造请求绕过表单，提交恶意内容（如 SQL 注入、XSS 负载）。因此，必须对输入进行严格校验与转义。
以下是推荐的完整实现方案：
Coding Agent Loops
下载
一款AI工具，主要用于在持久tmux会话中运行AI编码代理(Codex、Claude Code)，使用Ralph重试循环和完成钩子处理多步骤编码任务，适合需要提升相关任务效率的用户。
✅ 正确钩子用法与数据提取
使用 wpcf7_before_send_mail 钩子时，应声明接收全部三个参数（$contact_form, $abort, $submission），并指定优先级和参数数量（10, 3），确保 $submission 实例可靠传递：
add_action( 'wpcf7_before_send_mail', 'cf7_save_to_custom_db', 10, 3 );
function cf7_save_to_custom_db( $contact_form, $abort, $submission ) {
// 仅在表单成功提交且有数据时执行
if ( ! $submission ) {
return;
}
$form_data = $submission->get_posted_data();
// 关键：select 字段值为数组，取第一个元素（多选时需另作处理）
$city = isset( $form_data['city'][0] ) ? $form_data['city'][0] : '';
// 强制字符串化 + 安全过滤（防止 XSS 及非法字符）
$city = sanitize_text_field( wp_unslash( $city ) );
// 连接自定义数据库（建议使用常量或配置管理敏感信息）
$custom_db = new wpdb( 'locacarm_rent2', 'Sam2005', 'locacarm_rent2', 'localhost' );
// 插入数据（自动处理转义，无需手动 %s 占位符）
$result = $custom_db->insert(
'test',
[ 'city' => $city ],
[ '%s' ]
);
if ( false === $result ) {
error_log( 'CF7 custom DB insert failed: ' . $custom_db->last_error );
}
}
⚠️ 重要注意事项
- 不要硬编码数据库凭证：将数据库用户名、密码、主机等移至 wp-config.php 中定义常量（如 define('CUSTOM_DB_NAME', '...');），避免泄露风险；
- 表名前缀与权限：确保 test 表存在于目标数据库中，且数据库用户具备 INSERT 权限；
- 多选字段处理：若使用 [select* city multiple "NY" "LA" "Tokyo"]，则 $form_data['city'] 是数组，需 implode(',', array_map(...)) 或循环插入；
- 错误调试：启用 WP_DEBUG_LOG，通过 error_log() 记录失败详情，便于排查连接或语法问题；
- 替代方案建议：生产环境推荐使用 WordPress 原生 wpdb 连接主库（通过 $GLOBALS['wpdb']），或借助 wpdb::prepare() 构建更健壮的 SQL；若必须外连，建议封装数据库操作为独立服务类。
该方案兼顾功能性与安全性，可稳定捕获 select 值并持久化至外部数据库，是 Contact Form 7 自定义存储的可靠实践。
