探讨 WordPress 自动草稿机制如何防止数据重复提交 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

好的，我们开始今天的讲座，主题是：WordPress 自动草稿机制如何防止数据重复提交。

在Web开发中，防止数据重复提交是一个常见而重要的问题。用户可能会因为网络延迟、误操作或恶意行为而多次点击提交按钮，导致服务器端重复处理相同的数据，造成数据冗余、业务逻辑错误甚至安全漏洞。WordPress 作为流行的内容管理系统，内置了一些机制来应对这个问题，其中自动草稿功能是一个关键的组成部分。虽然自动草稿的主要目的是保存用户未完成的内容，但它也间接地在某些场景下起到了防止重复提交的作用。

今天我们深入探讨 WordPress 的自动草稿机制，分析它是如何工作的，以及如何利用或扩展它来更有效地防止数据重复提交。

1. 自动草稿机制概述

WordPress 的自动草稿功能允许用户在编辑文章或页面时，无需手动点击“保存草稿”按钮，系统会自动定时保存当前编辑的内容。这种自动保存的频率可以通过 AUTOSAVE_INTERVAL 常量在 wp-config.php 文件中进行配置，默认值为 60 秒。

这个机制的核心在于定期向服务器发送 AJAX 请求，将当前编辑器的内容保存到数据库中。WordPress 会创建一个类型为 auto-draft 的文章，并将其与当前用户的会话关联。

2. 自动草稿的实现原理

自动草稿的实现主要涉及以下几个关键点：

JavaScript 定时器： 在编辑器页面加载时，JavaScript 会启动一个定时器，每隔一定时间触发一个函数。
AJAX 请求： 定时器触发的函数会创建一个 AJAX 请求，将当前编辑器的内容（标题、正文等）发送到 WordPress 后端。
wp_autosave() 函数： 后端接收到 AJAX 请求后，会调用 wp_autosave() 函数来处理自动保存操作。
数据库操作： wp_autosave() 函数会检查是否存在与当前用户和文章关联的 auto-draft 类型的文章。
- 如果存在，则更新该文章的内容。
- 如果不存在，则创建一个新的 auto-draft 类型的文章。

3. wp_autosave() 函数详解

wp_autosave() 函数位于 wp-includes/post.php 文件中，是自动草稿机制的核心。我们来详细分析一下这个函数：

function wp_autosave() {
    if ( ! wp_verify_nonce( $_POST['_wpnonce'], 'autosave' ) ) {
        wp_die( __( 'Cheatin’ uh?' ), '', array( 'response' => 403 ) );
    }

    if ( ! isset( $_POST['post_ID'] ) ) {
        wp_die( __( 'No post ID set.' ) );
    }

    $post_id = (int) $_POST['post_ID'];

    if ( ! current_user_can( 'edit_post', $post_id ) ) {
        wp_die( __( 'You are not allowed to edit this post.' ) );
    }

    if ( 'auto-draft' === get_post_status( $post_id ) ) {
        wp_die( __( 'autosave_forbidden' ) );
    }

    $post = get_post( $post_id );

    if ( empty( $post ) ) {
        wp_die( __( 'autosave_forbidden' ) );
    }

    if ( ! empty( $post->post_parent ) ) {
        $parent = get_post( $post->post_parent );

        if ( 'publish' === $parent->post_status || 'private' === $parent->post_status ) {
            wp_die( __( 'autosave_forbidden' ) );
        }
    }

    if ( 'trash' === $post->post_status ) {
        wp_die( __( 'autosave_forbidden' ) );
    }

    if ( 'publish' === $post->post_status || 'private' === $post->post_status ) {
        wp_die( __( 'autosave_forbidden' ) );
    }

    if ( 'attachment' === $post->post_type ) {
        wp_die( __( 'autosave_forbidden' ) );
    }

    // Expected $_POST values.
    $autosave = array();
    $expected = array(
        'post_title',
        'content',
        'excerpt'
    );

    foreach ( $expected as $key ) {
        if ( isset( $_POST[ $key ] ) ) {
            $autosave[ $key ] = wp_slash( $_POST[ $key ] );
        } else {
            $autosave[ $key ] = '';
        }
    }

    $autosave['post_ID'] = $post_id;
    $autosave['post_type'] = $post->post_type;
    $autosave['post_status'] = 'auto-draft';
    $autosave['post_author'] = get_current_user_id();

    // Save the autosave.
    $autosave_id = wp_insert_post( $autosave );

    if ( is_wp_error( $autosave_id ) ) {
        wp_die( __( 'autosave_error' ) );
    }

    // Return the autosave ID.
    echo $autosave_id;
    wp_die();
}

这个函数主要做了以下几件事情：

验证 Nonce： 确保请求来自合法的 WordPress 用户，防止 CSRF 攻击。
检查 Post ID： 确认请求中包含了 post_ID 参数，用于标识要自动保存的文章。
权限验证： 验证当前用户是否有编辑该文章的权限。
状态检查： 检查文章的状态，如果文章已经是 auto-draft、trash、publish 或 private 状态，或者文章类型是 attachment，则拒绝自动保存。这可以避免在不应该进行自动保存的情况下执行操作。
数据准备： 从 $_POST 数组中获取文章标题、正文和摘要等数据，并进行转义处理。
保存自动草稿： 调用 wp_insert_post() 函数将数据保存到数据库中。如果存在与当前用户和文章关联的 auto-draft 类型的文章，则更新该文章的内容；否则，创建一个新的 auto-draft 类型的文章。
返回结果： 将自动草稿的文章 ID 返回给客户端。

4. 自动草稿如何间接防止重复提交

虽然自动草稿的主要目的是保存用户未完成的内容，但它在以下几种情况下可以间接地防止重复提交：

防止意外提交： 如果用户在填写表单的过程中意外地点击了提交按钮，由于自动草稿已经保存了部分数据，用户可以从自动草稿中恢复数据，避免重新填写。
缓解网络延迟导致的问题： 在网络状况不佳的情况下，用户可能会多次点击提交按钮。如果第一次提交已经成功，后续的提交可能会导致数据重复。自动草稿可以作为一种备份，即使第一次提交失败，用户也可以从自动草稿中恢复数据，避免重新提交。

5. 自动草稿的局限性

需要注意的是，自动草稿机制并不能完全防止数据重复提交。它主要有以下几个局限性：

只适用于文章和页面： 自动草稿机制主要用于文章和页面的编辑，对于其他类型的表单（例如，评论表单、联系表单等）并不适用。
无法防止恶意提交： 如果用户故意多次点击提交按钮，自动草稿机制无法阻止这种行为。
依赖 JavaScript： 自动草稿机制依赖 JavaScript 来发送 AJAX 请求，如果用户禁用了 JavaScript，则自动草稿功能将无法工作。

6. 扩展自动草稿机制以增强防重复提交能力

为了更有效地防止数据重复提交，我们可以扩展 WordPress 的自动草稿机制，或者结合其他技术来实现。以下是一些可能的方案：

自定义字段存储提交状态： 在文章或页面的自定义字段中存储提交状态，例如，submitted、pending、processing 等。在处理提交请求时，首先检查该字段的值，如果已经处于 submitted 或 processing 状态，则拒绝处理后续的请求。
使用 Nonce 验证： 为每个表单生成一个唯一的 Nonce 值，并在提交时验证该值。如果 Nonce 值无效，则拒绝处理请求。这可以防止 CSRF 攻击和重复提交。
使用 Session 存储提交状态： 将提交状态存储在 Session 中。在处理提交请求时，首先检查 Session 中是否存在该状态，如果存在，则拒绝处理请求。
使用 JavaScript 禁用提交按钮： 在用户点击提交按钮后，使用 JavaScript 禁用该按钮，防止用户再次点击。这可以减少用户误操作导致的重复提交。
使用 CAPTCHA 验证： 在表单中添加 CAPTCHA 验证，防止机器人恶意提交。
服务器端节流： 对提交请求进行节流，限制同一 IP 地址或用户的提交频率。

7. 代码示例：使用自定义字段存储提交状态

以下是一个使用自定义字段存储提交状态的代码示例：

// 在保存文章时，检查提交状态
add_action( 'save_post', 'prevent_duplicate_submission', 10, 3 );

function prevent_duplicate_submission( $post_id, $post, $update ) {
    // 忽略自动保存和修订版本
    if ( defined( 'DOING_AUTOSAVE' ) && DOING_AUTOSAVE ) return;
    if ( wp_is_post_revision( $post_id ) ) return;

    // 检查是否是需要处理的文章类型
    if ( 'post' != $post->post_type && 'page' != $post->post_type ) return;

    // 获取提交状态
    $submission_status = get_post_meta( $post_id, '_submission_status', true );

    // 如果已经提交，则拒绝处理
    if ( 'submitted' == $submission_status ) {
        // 可以添加一些提示信息，例如：
        // add_action( 'admin_notices', function() {
        //     echo '<div class="notice notice-warning is-dismissible"><p>该文章已经提交，请勿重复提交。</p></div>';
        // });
        return;
    }

    // 如果是新文章，则设置提交状态为 pending
    if ( ! $update ) {
        update_post_meta( $post_id, '_submission_status', 'pending' );
    }

    // TODO: 在这里处理提交逻辑，例如，发送邮件、更新数据库等

    // 处理完成后，更新提交状态为 submitted
    update_post_meta( $post_id, '_submission_status', 'submitted' );
}

// 在编辑文章页面添加一个隐藏字段，用于存储提交状态
add_action( 'add_meta_boxes', 'add_submission_status_meta_box' );

function add_submission_status_meta_box( $post_type, $post ) {
    add_meta_box(
        'submission_status_meta_box',
        '提交状态',
        'submission_status_meta_box_callback',
        $post_type,
        'side',
        'low'
    );
}

function submission_status_meta_box_callback( $post ) {
    $submission_status = get_post_meta( $post->ID, '_submission_status', true );
    ?>
    <input type="hidden" name="submission_status" value="<?php echo esc_attr( $submission_status ); ?>">
    <p>当前状态：<?php echo esc_html( $submission_status ); ?></p>
    <?php
}

这个代码示例演示了如何在保存文章时，使用自定义字段 _submission_status 来存储提交状态。在处理提交请求时，首先检查该字段的值，如果已经处于 submitted 状态，则拒绝处理后续的请求。

8. 代码示例：使用 Nonce 验证

以下是一个使用 Nonce 验证的代码示例：

// 生成 Nonce 值
function generate_submission_nonce() {
    return wp_create_nonce( 'submit_form' );
}

// 验证 Nonce 值
function verify_submission_nonce( $nonce ) {
    return wp_verify_nonce( $nonce, 'submit_form' );
}

// 在表单中添加 Nonce 字段
function add_submission_nonce_field() {
    echo '<input type="hidden" name="submission_nonce" value="' . generate_submission_nonce() . '">';
}

// 处理表单提交
function process_form_submission() {
    // 验证 Nonce 值
    if ( ! verify_submission_nonce( $_POST['submission_nonce'] ) ) {
        wp_die( 'Nonce verification failed.' );
    }

    // TODO: 在这里处理表单数据

    // 可以选择销毁 Nonce 值，防止重复提交
    // unset( $_POST['submission_nonce'] );
}

这个代码示例演示了如何使用 wp_create_nonce() 和 wp_verify_nonce() 函数来生成和验证 Nonce 值。在处理表单提交时，首先验证 Nonce 值，如果验证失败，则拒绝处理请求。

9. 其他考虑因素

在设计防重复提交机制时，还需要考虑以下因素：

用户体验： 防重复提交机制不应该影响用户体验。例如，禁用提交按钮可能会让用户感到困惑，因此需要添加适当的提示信息。
性能： 防重复提交机制不应该对服务器性能产生过大的影响。例如，频繁地查询数据库可能会降低服务器的响应速度。
安全性： 防重复提交机制应该能够有效地防止恶意提交，例如，CSRF 攻击。

表格总结各种防重复提交方案的优缺点

方案	优点	缺点	适用场景
自定义字段存储提交状态	简单易用，可以灵活地控制提交状态。	需要额外的数据库查询，可能影响性能。	需要记录提交状态的场景，例如，审核流程。
Nonce 验证	有效地防止 CSRF 攻击和重复提交。	需要生成和验证 Nonce 值，可能增加服务器负担。	所有需要防止 CSRF 攻击和重复提交的表单。
Session 存储提交状态	可以跨页面跟踪提交状态。	需要使用 Session，可能增加服务器负担。	需要跨页面跟踪提交状态的场景，例如，分步表单。
JavaScript 禁用提交按钮	简单易用，可以减少用户误操作导致的重复提交。	依赖 JavaScript，如果用户禁用了 JavaScript，则无法工作。	只需要防止用户误操作导致的重复提交的表单。
CAPTCHA 验证	有效地防止机器人恶意提交。	可能会影响用户体验。	需要防止机器人恶意提交的表单，例如，注册表单、评论表单。
服务器端节流	可以限制同一 IP 地址或用户的提交频率，防止恶意攻击。	可能会误伤正常用户。	需要防止恶意攻击的场景，例如，登录表单、注册表单。
WordPress 自动草稿机制	自动保存内容，防止数据丢失，间接防止因网络问题导致的重复提交。	主要针对文章和页面，无法防止恶意提交，依赖 JavaScript。	文章和页面编辑，作为一种辅助手段，不能完全依赖它来防止重复提交。

最后，我们对今天的内容做个简单的概括

我们深入探讨了 WordPress 的自动草稿机制，了解了它的实现原理和局限性。虽然自动草稿不能完全防止数据重复提交，但我们可以通过扩展它或结合其他技术来实现更有效的防重复提交。选择合适的方案需要根据具体的应用场景和需求进行权衡。

发表回复 取消回复

发表回复取消回复