分析 `wp_get_current_commenter()` 函数的源码，它是如何获取当前评论者的信息的？ - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

各位观众老爷们，大家好！我是你们的老朋友，今天咱们来聊聊WordPress里一个挺有意思的函数：wp_get_current_commenter()。这函数听起来有点神秘，其实就是负责获取当前访客评论时的一些信息，比如昵称、邮箱和网站。

一、开场白：评论区的江湖

想象一下，你的网站是一个热闹的茶馆，访客们来了又走，留下各种评论。wp_get_current_commenter() 就好比是茶馆的掌柜，专门负责登记客人信息，以便下次见面还能认出来。评论区风起云涌，各路英雄豪杰纷纷在此留下足迹，而wp_get_current_commenter() 正是记录这些英雄信息的小本本。

二、源码解剖：一层一层扒开它的心

废话不多说，直接上代码！我们先来看看wp-includes/comment-template.php里 wp_get_current_commenter() 的源码：

function wp_get_current_commenter() {
    $commenter = wp_parse_args( $_COOKIE, array(
        'comment_author'       => '',
        'comment_author_email' => '',
        'comment_author_url'   => '',
    ) );

    $commenter['comment_author'] = stripslashes( $commenter['comment_author'] );
    $commenter['comment_author_email'] = stripslashes( $commenter['comment_author_email'] );
    $commenter['comment_author_url'] = stripslashes( $commenter['comment_author_url'] );

    return $commenter;
}

简单吧？比煎饼果子还简单。别急，我们来一步一步分析：

默认值：
首先，它定义了一个默认的 $commenter 数组，包含了三个键：comment_author（昵称）、comment_author_email（邮箱）和 comment_author_url（网站）。默认值都是空字符串 ''。这就像是掌柜手里的小本本，一开始是空的。
从Cookie中捞数据：
wp_parse_args( $_COOKIE, ...) 这句是关键。它从 $_COOKIE 超全局变量中获取数据。$_COOKIE 存储了用户浏览器中的 Cookie 信息。WordPress 会将评论者的信息保存在 Cookie 中。wp_parse_args() 函数的作用是将 $_COOKIE 中的数据与默认值合并。如果 $_COOKIE 中存在 comment_author、comment_author_email 和 comment_author_url 这几个键，那么它们的值会被提取出来，覆盖默认值。

简单来说，就是看看用户之前有没有来过，如果来过，就从小本本里把他的信息找出来。
去除反斜杠：
stripslashes() 函数用于去除字符串中的反斜杠。为什么要去除反斜杠呢？因为在某些情况下，用户输入的数据可能包含特殊字符，这些字符会被自动转义（加上反斜杠）。为了保证数据的原始性，我们需要去除这些反斜杠。
返回结果：
最后，函数返回 $commenter 数组，包含了当前评论者的昵称、邮箱和网站。

三、 Cookie的作用：记忆的魔法

看到这里，你可能会问：为什么 WordPress 要用 Cookie 来存储评论者信息呢？

答案很简单：为了记住用户。

想象一下，如果没有 Cookie，每次你发表评论，都得重新输入你的昵称、邮箱和网站。这得多麻烦啊！有了 Cookie，浏览器会记住你的信息，下次你再来评论时，这些信息会自动填充。

Cookie就像一个小小的身份证明，让网站能够识别你。

四、深入挖掘：Cookie 的设置与读取

wp_get_current_commenter() 函数负责读取 Cookie，那谁来设置 Cookie 呢？答案是 setcookie() 函数，通常在用户提交评论时被调用。

下面是一个简单的例子，演示如何设置 Cookie：

<?php
$name   = 'comment_author';
$value  = '张三';
$expire = time() + 3600; // Cookie 过期时间：1 小时后
$path   = '/';         // Cookie 有效路径：整个网站
$domain = $_SERVER['SERVER_NAME']; // Cookie 有效域名：当前域名
$secure = is_ssl();    // 是否只在 HTTPS 连接下发送 Cookie
$httponly = true;     // 是否禁止 JavaScript 访问 Cookie

setcookie( $name, $value, $expire, $path, $domain, $secure, $httponly );
?>

参数解释：

参数	描述
`$name`	Cookie 的名称。
`$value`	Cookie 的值。
`$expire`	Cookie 的过期时间。Unix 时间戳。如果设置为 `0`，则 Cookie 会在浏览器关闭时过期。
`$path`	Cookie 的有效路径。指定 Cookie 在哪个目录下有效。 `/` 表示整个网站。
`$domain`	Cookie 的有效域名。指定 Cookie 在哪个域名下有效。
`$secure`	是否只在 HTTPS 连接下发送 Cookie。如果设置为 `true`，则只有在使用 HTTPS 连接时，浏览器才会发送该 Cookie。
`$httponly`	是否禁止 JavaScript 访问 Cookie。如果设置为 `true`，则 JavaScript 无法读取该 Cookie。这可以提高安全性。

当用户提交评论时，WordPress 会调用 setcookie() 函数，将评论者的信息存储在 Cookie 中。下次用户再来评论时，wp_get_current_commenter() 函数会从 Cookie 中读取这些信息。

五、安全隐患：Cookie 的风险

虽然 Cookie 很方便，但也存在一些安全风险：

跨站脚本攻击 (XSS)： 如果网站没有对用户输入进行充分的验证和过滤，攻击者可以通过 XSS 攻击，在用户的浏览器中注入恶意代码，从而窃取 Cookie。
跨站请求伪造 (CSRF)： 攻击者可以伪造用户的请求，例如，让用户在不知情的情况下发表评论。

为了防止这些攻击，我们需要采取一些安全措施：

对用户输入进行验证和过滤。
使用 HTTPS 连接。
设置 httponly 标志，禁止 JavaScript 访问 Cookie。
使用 CSRF token。

六、使用场景：评论框的秘密

wp_get_current_commenter() 函数通常用在评论表单中，用于预填充评论者的信息。

例如，在 comment_form() 函数中，会调用 wp_get_current_commenter() 函数，获取当前评论者的信息，然后将这些信息填充到评论表单的相应字段中。

<?php
$commenter = wp_get_current_commenter();
$req = get_option( 'require_name_email' );
$aria_req = ( $req ? " aria-required='true'" : '' );

$fields =  array(
    'author' => '<p class="comment-form-author">' . '<label for="author">' . __( 'Name', 'textdomain' ) . ( $req ? ' <span class="required">*</span>' : '' ) . '</label> ' .
                '<input id="author" name="author" type="text" value="' . esc_attr( $commenter['comment_author'] ) . '" size="30"' . $aria_req . ' /></p>',
    'email'  => '<p class="comment-form-email"><label for="email">' . __( 'Email', 'textdomain' ) . ( $req ? ' <span class="required">*</span>' : '' ) . '</label> ' .
                '<input id="email" name="email" type="text" value="' . esc_attr(  $commenter['comment_author_email'] ) . '" size="30"' . $aria_req . ' /></p>',
    'url'    => '<p class="comment-form-url"><label for="url">' . __( 'Website', 'textdomain' ) . '</label>' .
                '<input id="url" name="url" type="text" value="' . esc_attr( $commenter['comment_author_url'] ) . '" size="30" /></p>',
);
?>

在上面的代码中，esc_attr() 函数用于对数据进行转义，防止 XSS 攻击。

七、高级应用：自定义评论体验

除了预填充评论表单，wp_get_current_commenter() 函数还可以用于自定义评论体验。

例如，你可以根据评论者的信息，显示不同的欢迎语。

<?php
$commenter = wp_get_current_commenter();

if ( ! empty( $commenter['comment_author'] ) ) {
    echo '<p>欢迎回来，' . esc_html( $commenter['comment_author'] ) . '！</p>';
} else {
    echo '<p>欢迎发表评论！</p>';
}
?>

八、总结：评论区的守护者

wp_get_current_commenter() 函数虽然简单，但却在 WordPress 的评论系统中扮演着重要的角色。它负责获取当前评论者的信息，并将其用于预填充评论表单、自定义评论体验等方面。

理解 wp_get_current_commenter() 函数的原理，可以帮助我们更好地理解 WordPress 的评论系统，并对其进行定制。

九、举一反三：其他用户信息获取方式

除了 wp_get_current_commenter()，WordPress 还有其他函数可以获取用户信息：

wp_get_current_user(): 获取当前登录用户的信息。
get_userdata(): 获取指定用户 ID 的用户信息。
get_user_meta(): 获取指定用户的自定义字段信息。

这些函数可以用于各种场景，例如，显示用户的头像、昵称、个人资料等。

十、练习题：小试牛刀

修改评论表单，添加一个 “所在地” 字段，并将该字段的值存储在 Cookie 中。
在评论列表中，显示评论者的所在地。
如果评论者是管理员，则在评论旁边显示一个 “管理员” 标志。

希望今天的讲座对大家有所帮助！下次再见！

发表回复 取消回复

发表回复取消回复