本文介绍如何在WordPress中通过wp_get_referer()安全判断用户上一页是否为后台页面，避免硬编码完整URL带来的维护问题和协议/域名不一致风险。
本文介绍如何在wordpress中通过wp_get_referer()安全判断用户上一页是否为后台页面，避免硬编码完整url带来的维护问题和协议/域名不一致风险。
在WordPress开发中，常需根据用户来源页面执行不同逻辑（例如：编辑文章后跳转、权限校验或界面定制）。直接使用 `wp_get_referer() === admin_url('/post.php?post=12800&action=edit')` 这类全URL比对存在明显缺陷：URL含动态参数（如`post=12800`）、易受站点地址变更（HTTP/HTTPS、子目录迁移）影响，且难以泛化。
更健壮的做法是检测Referer是否属于当前站点的后台路径。推荐使用 strpos() 进行前缀匹配，结合 get_site_url() 与 /wp-admin/ 路径构造基准：
$referer = wp_get_referer();
if ( $referer && strpos( $referer, get_site_url() . '/wp-admin/' ) === 0 ) {
// 用户来自当前站点的后台页面（如 /wp-admin/edit.php、/wp-admin/post.php 等）
wp_redirect( admin_url('admin.php?page=my-plugin-dashboard') );
exit;
}
✅ 关键说明：
-
wp_get_referer()可能返回false（如直接访问、无Referer头），务必先判空； - 使用
=== 0（严格等于0）确保是字符串开头匹配，而非任意位置出现； -
get_site_url()动态获取站点首页URL（含协议、域名、子目录），与admin_url()保持协议一致性，规避HTTPS混合内容或本地开发环境问题； -
/wp-admin/是WordPress后台统一路径前缀，覆盖所有后台页面（不含/wp-login.php等独立入口）。
⚠️ 注意事项：
- Referer可被客户端伪造，不可用于安全敏感操作（如权限绕过校验），仅适用于用户体验优化类逻辑；
- 若需更高可靠性，建议配合
wp_get_current_user()权限检查或 nonce 验证； - 避免使用
parse_url()后比对host或path—— 多余解析且易出错，前缀匹配简洁高效。
综上，用 strpos( wp_get_referer(), get_site_url() . '/wp-admin/' ) === 0 替代硬编码完整URL，是兼顾准确性、可维护性与兼容性的最佳实践。
