本文介绍在 WordPress 环境下，使用原生函数 get_user_by('email', $email) 安全、高效地根据邮箱地址查询用户 ID 的方法，并说明其返回值结构、典型应用场景（如密码重置）及关键注意事项。
本文介绍在 WordPress 环境下，使用原生函数 `get_user_by('email', $email)` 安全、高效地根据邮箱地址查询用户 ID 的方法，并说明其返回值结构、典型应用场景（如密码重置）及关键注意事项。
在 WordPress 开发中，常需根据用户提供的邮箱地址检索其账户信息——例如实现“忘记密码”功能时，需先确认该邮箱是否已注册，再获取对应用户 ID 以生成重置令牌或触发邮件。WordPress 提供了高度封装且安全的内置函数来完成这一操作，无需手动编写 SQL 查询，既避免 SQL 注入风险，又兼容多站点、用户元数据扩展等场景。
✅ 正确用法：get_user_by() 获取用户对象
get_user_by() 是 WordPress 核心函数，支持按 'email'、'login'、'slug' 或 'id' 查找用户。当按邮箱查询时，应传入 'email' 作为第一个参数，邮箱字符串作为第二个参数：
$email = sanitize_email($_POST['email'] ?? '');
if (empty($email) || !is_email($email)) {
wp_die('无效的邮箱格式');
}
$user = get_user_by('email', $email);
if ($user instanceof WP_User) {
$user_id = $user->ID; // ✅ 正确获取用户 ID
error_log("找到用户 ID: {$user_id}");
// 后续可调用 retrieve_password() 或发送自定义重置邮件
} else {
// 邮箱未注册
wp_die('该邮箱尚未注册，请检查输入或前往注册');
}? 注意：get_user_by() 不直接返回整数型 ID，而是返回一个 WP_User 对象。必须通过 $user->ID 属性访问 ID 值。直接 var_dump($user) 可查看完整用户数据（含 ID, user_login, user_email, user_registered 等）。
立即学习“PHP免费学习笔记（深入）”；
⚠️ 关键注意事项
- 输入校验不可省略：务必使用 sanitize_email() 清洗输入，并用 is_email() 验证格式，防止空值、恶意字符或注入尝试；
- 权限与上下文：该函数可在主题 functions.php、插件或 REST API 回调中安全调用，但需确保 WordPress 环境已加载（即不能在独立 PHP 脚本中直接使用）；
- 性能友好：底层使用预编译的 $wpdb->prepare() 查询，自动处理转义，支持缓存（如启用了对象缓存）；
- 替代方案不推荐：避免手写 $wpdb->get_var("SELECT ID FROM $wpdb->users WHERE user_email = '$email'") —— 易引发 SQL 注入，且绕过 WordPress 用户状态检查（如 user_status、spam 标记等）。
? 进阶建议：直接触发密码重置（推荐）
若目标仅为实现标准密码找回流程，WordPress 已提供开箱即用的 retrieve_password() 函数，它会自动验证邮箱、生成 token、发送邮件并记录日志：
$result = retrieve_password($email);
if (is_wp_error($result)) {
$error = $result->get_error_message();
// 处理错误：如邮箱不存在、被限制、发送失败等
} else {
// 成功：已向用户邮箱发送重置链接
wp_redirect(wp_login_url() . '?checkemail=confirm');
exit;
}该函数内部已调用 get_user_by('email', $email) 并完成全部业务逻辑，是比手动取 ID 更健壮、更符合 WordPress 最佳实践的选择。
综上，get_user_by('email', $email) 是获取用户 ID 的标准、安全、可维护方式；理解其返回对象特性、配合输入校验与上下文约束，即可在各类用户认证场景中稳定使用。
