本文介绍如何通过后端验证与隐藏字段正确配置，确保 Gravity Forms 中的邮箱输入字段严格匹配当前登录用户的邮箱地址，避免因 CSS visibility: hidden 导致的绕过校验问题。

本文介绍如何通过后端验证与隐藏字段正确配置，确保 gravity forms 中的邮箱输入字段严格匹配当前登录用户的邮箱地址，避免因 css `visibility: hidden` 导致的绕过校验问题。

在 Gravity Forms 中，仅依赖前端隐藏（如 visibility: hidden 或 opacity: 0）来“pre-fill”并保护邮箱字段是不安全的——这类样式不会阻止用户通过浏览器开发者工具修改 DOM 值或直接提交非法邮箱。您提供的钩子函数逻辑本身正确，但校验失效的根本原因在于：visibility: hidden 的字段仍会参与表单提交，且 Gravity Forms 默认允许其值被篡改；而您的 email_exists() 调用方式存在逻辑错误，导致校验始终失败。

✅ 正确实现方案：后端强校验 + 安全隐藏

1. 修正 PHP 校验逻辑

原代码中 email_exists($value, $user->data->user_email, $user->ID) 用法错误：email_exists() 仅接受一个参数（邮箱字符串），用于检查该邮箱是否已注册为 WordPress 用户，不能用于比对两个邮箱。应直接使用字符串比较：

add_filter( 'gform_field_validation_13_24', 'check_current_email', 10, 4 );
function check_current_email( $result, $value, $form, $field ) {
    // 确保仅作用于目标邮箱字段（建议同时校验 field ID 和 type）
    if ( $field->id == 24 && $field->type === 'email' ) {
        $current_user = wp_get_current_user();

        // 必须登录用户才可校验
        if ( ! $current_user->exists() ) {
            $result['is_valid'] = false;
            $result['message']  = '请先登录后再提交表单。';
            return $result;
        }

        // 严格比对：去除首尾空格，忽略大小写（邮箱域名不区分大小写）
        if ( empty( $value ) || strtolower( trim( $value ) ) !== strtolower( $current_user->user_email ) ) {
            $result['is_valid'] = false;
            $result['message']  = '请输入您当前登录账户的邮箱地址。';
        }
    }
    return $result;
}

⚠️ 注意：gform_field_validation_{form_id}_{field_id} 中的 13_24 应替换为实际表单 ID 和字段 ID（如表单 ID 是 13，字段 ID 是 24）。推荐使用 $field->id 动态判断，提升可维护性。

2. 安全隐藏字段：使用 display: none 替代 visibility: hidden

Gravity Forms 在 display: none 下仍会提交字段值，但更关键的是，它不会被屏幕阅读器或自动化脚本轻易绕过（相比 visibility: hidden）。操作步骤如下：

• 在 Gravity Forms 字段编辑页 → 「外观」选项卡 → 「CSS 类名」中填写：gf-hidden-email
• 在主题 style.css 或站点自定义 CSS 中添加：

  .gf-hidden-email { display: none !important; }

• 同时，在「高级」选项卡中勾选 「启用默认值」，并将默认值设为 Logged In User Email（Gravity Forms 内置选项），确保预填充真实邮箱。

3. （可选增强）禁用字段编辑（前端防护）

若需进一步防止用户手动修改，可在表单页面添加轻量级 JS 锁定字段（仅作辅助，不可替代后端校验）：

<script>
document.addEventListener('DOMContentLoaded', function() {
    const emailField = document.querySelector('input[name="input_24"]');
    if (emailField) {
        emailField.setAttribute('readonly', 'readonly');
        emailField.style.opacity = '0.6';
    }
});
</script>

? 总结

• 核心原则：永远信任后端，不依赖前端隐藏或禁用。display: none 是比 visibility: hidden 更稳妥的视觉隐藏方式，但真正起作用的是经过修正的 PHP 校验。
• email_exists() 不可用于邮箱比对，请改用 strtolower(trim($value)) === strtolower($user->user_email)。
• 务必验证用户登录状态，避免未登录时触发校验异常。
• 推荐结合 Gravity Forms 原生「Logged In User Email」默认值 + display: none + 服务端严格比对，三重保障数据真实性。