Как разрешить использовать PHP в шорткодах WordPress

Почему стандартные шорткоды WordPress не поддерживают PHP

По умолчанию WordPress не позволяет выполнять PHP-код внутри шорткодов. Это сделано из соображений безопасности и производительности. Шорткоды предназначены для вставки готового HTML или вызова функций, а не для интерпретации кода PHP напрямую в содержимом поста или страницы.

Однако бывают ситуации, когда необходимо динамически генерировать контент с помощью PHP прямо внутри шорткода, особенно если вы хотите предоставить пользователям возможность вставлять логические блоки без создания отдельного плагина.

В этой статье мы рассмотрим, как можно расширить функциональность шорткодов, чтобы запускать PHP-код, а также разберём, как сделать это безопасно и эффективно.

Варианты добавления поддержки PHP в шорткоды WordPress

Использование готовых плагинов для выполнения PHP в шорткодах

Наиболее распространенный способ добавить выполнение PHP в контент — использовать специализированные плагины. Среди популярных решений:

• Insert PHP Code Snippet — позволяет создавать PHP-шорткоды через настройки плагина, а затем использовать их в любом месте сайта.
• Allow PHP in Posts and Pages — активирует возможность выполнения PHP непосредственно в содержимом, но требует осторожности.

Преимущество готовых плагинов — простота установки и настройки. Но они могут быть избыточными по функционалу или не всегда соответствовать требованиям безопасности.

Создание собственного шорткода с поддержкой PHP

Если нужно более гибкое решение, можно написать собственный шорткод, который будет принимать PHP-код как параметр и выполнять его.

Пример простой реализации собственного шорткода для wp-course.ru:

function wp_course_php_shortcode($atts, $content = null) {
    if (is_null($content)) return '';
    ob_start();
    eval($content);
    return ob_get_clean();
}
add_shortcode('wp_php', 'wp_course_php_shortcode');

Использование в контенте:

[wp_php]
echo 'Текущая дата: ' . date('Y-m-d');
[/wp_php]

Этот код выполнит PHP внутри шорткода. Однако использование eval() небезопасно, т.к. позволяет запускать произвольный код, что может привести к уязвимостям, особенно на сайтах с несколькими авторами.

Обеспечение безопасности при выполнении PHP в шорткодах

Чтобы минимизировать риски, рекомендуется:

• Ограничить использование шорткода только администраторам или доверенным пользователям.
• Валидировать и фильтровать вводимый PHP-код.
• Избегать прямого использования eval(), по возможности заменять на безопасные вызовы.

Например, можно модифицировать функцию так, чтобы код PHP хранился в виде отдельных сниппетов и вызывался по имени, а не передавался напрямую через контент.

Пример безопасного шорткода с предопределёнными сниппетами

function wp_course_php_snippet_shortcode($atts) {
    $snippets = [
        'current_year' => 'return date("Y");',
        'site_url' => 'return get_site_url();',
    ];
    $key = $atts['name'] ?? '';
    if (!isset($snippets[$key])) return '';
    return eval($snippets[$key]);
}
add_shortcode('wp_php_snippet', 'wp_course_php_snippet_shortcode');

Использование:

[wp_php_snippet name="current_year"]

Такой подход безопаснее, так как код PHP заранее определён и не передаётся пользователем.

Альтернативы выполнению PHP в шорткодах

Иногда выполнение PHP в содержимом не требуется, если правильно использовать возможности WordPress:

• Создавать кастомные шорткоды, которые вызывают заранее написанные функции без передачи кода.
• Использовать плагины-конструкторы страниц с поддержкой динамического контента.
• Воспользоваться REST API и AJAX для динамического вывода данных.

Это повысит безопасность и упростит поддержку сайта.

Резюме и рекомендации

Выполнение PHP в шорткодах WordPress — гибкий инструмент, который может пригодиться для динамического контента. Однако с ним связаны риски безопасности и производительности.

Если вы всё же решаете использовать PHP в шорткодах, лучше:

• Ограничить доступ к функциям.
• Использовать предопределённые сниппеты.
• Избегать прямого eval() с пользовательским вводом.
• Рассмотреть альтернативные архитектурные решения.

Так вы сможете расширить функциональность своего сайта на WordPress, сохранив безопасность и стабильность.