本文介绍如何在WordPress中通过wp_get_referer()安全判断用户上一页是否为后台页面，避免硬编码完整URL带来的维护问题和协议/域名不一致风险。

本文介绍如何在wordpress中通过wp_get_referer()安全判断用户上一页是否为后台页面，避免硬编码完整url带来的维护问题和协议/域名不一致风险。

在WordPress开发中，常需根据用户来源页面执行不同逻辑（例如：编辑文章后跳转、权限校验或界面定制）。直接使用 `wp_get_referer() === admin_url('/post.php?post=12800&action=edit')` 这类全URL比对存在明显缺陷：URL含动态参数（如`post=12800`）、易受站点地址变更（HTTP/HTTPS、子目录迁移）影响，且难以泛化。

更健壮的做法是检测Referer是否属于当前站点的后台路径。推荐使用 strpos() 进行前缀匹配，结合 get_site_url() 与 /wp-admin/ 路径构造基准：

$referer = wp_get_referer();
if ( $referer && strpos( $referer, get_site_url() . '/wp-admin/' ) === 0 ) {
    // 用户来自当前站点的后台页面（如 /wp-admin/edit.php、/wp-admin/post.php 等）
    wp_redirect( admin_url('admin.php?page=my-plugin-dashboard') );
    exit;
}

✅ 关键说明：

MFA WORD

强制使用密钥词进行 MFA 以访问敏感数据，支持超级密钥词紧急重置。

下载

• wp_get_referer() 可能返回 false（如直接访问、无Referer头），务必先判空；
• 使用 === 0（严格等于0）确保是字符串开头匹配，而非任意位置出现；
• get_site_url() 动态获取站点首页URL（含协议、域名、子目录），与 admin_url() 保持协议一致性，规避HTTPS混合内容或本地开发环境问题；
• /wp-admin/ 是WordPress后台统一路径前缀，覆盖所有后台页面（不含/wp-login.php等独立入口）。

⚠️ 注意事项：

• Referer可被客户端伪造，不可用于安全敏感操作（如权限绕过校验），仅适用于用户体验优化类逻辑；
• 若需更高可靠性，建议配合 wp_get_current_user() 权限检查或 nonce 验证；
• 避免使用 parse_url() 后比对 host 或 path —— 多余解析且易出错，前缀匹配简洁高效。

综上，用 strpos( wp_get_referer(), get_site_url() . '/wp-admin/' ) === 0 替代硬编码完整URL，是兼顾准确性、可维护性与兼容性的最佳实践。