在WordPress中，使用自定义表单和nonce字段来增强安全性是一个重要的步骤，以防止跨站请求伪造（CSRF）攻击。以下是如何在WordPress插件中实现这一点的步骤：

1. 创建自定义表单

首先，你需要创建一个自定义表单。以下是一个简单的例子：

<form action="<?php echo esc_url( admin_url( 'admin-post.php' ) ); ?>" method="post">
    <!-- 表单输入字段 -->
    <input type="text" name="custom_field" value="" />

    <!-- 隐藏动作字段 -->
    <input type="hidden" name="action" value="custom_form_action" />

    <!-- 提交按钮 -->
    <input type="submit" value="提交" />
</form>

在这个表单中，我们使用了admin-post.php来处理表单提交，这是WordPress推荐的方式来处理后台表单。

2. 添加nonce字段

为了增强安全性，你需要添加一个nonce字段。这个字段将用于验证表单提交是否来自你的网站。

<form action="<?php echo esc_url( admin_url( 'admin-post.php' ) ); ?>" method="post">
    <!-- 表单输入字段 -->
    <input type="text" name="custom_field" value="" />

    <!-- 隐藏动作字段 -->
    <input type="hidden" name="action" value="custom_form_action" />

    <!-- 添加nonce字段 -->
    <?php wp_nonce_field( 'custom_form_nonce_action', 'custom_form_nonce_name' ); ?>

    <!-- 提交按钮 -->
    <input type="submit" value="提交" />
</form>

在这里，wp_nonce_field()函数创建了nonce字段。第一个参数是动作名称，第二个参数是nonce字段的名称。

3. 处理表单提交

在admin-post.php处理表单提交时，你需要验证nonce字段。

function handle_custom_form_submission() {
    if ( isset( $_POST['custom_form_nonce_name'] ) && wp_verify_nonce( $_POST['custom_form_nonce_name'], 'custom_form_nonce_action' ) ) {
        // 验证通过，处理表单数据
        $custom_field_value = sanitize_text_field( $_POST['custom_field'] );
        // ...你的逻辑处理代码
    } else {
        // 验证失败，可以重定向或显示错误消息
        wp_die( '无效的nonce，请刷新页面并重试。' );
    }
}

add_action( 'admin_post_custom_form_action', 'handle_custom_form_submission' );
add_action( 'admin_post_nopriv_custom_form_action', 'handle_custom_form_submission' );

在这里，我们使用wp_verify_nonce()函数来验证nonce字段。如果验证失败，我们使用wp_die()来终止请求并显示错误消息。

• admin_post_custom_form_action 是针对登录用户的后台表单处理。
• admin_post_nopriv_custom_form_action 是针对未登录用户的前台表单处理。

注意事项

• 确保nonce字段的动作名称（action）和名称（name）是唯一的，以避免与其他表单冲突。
• 使用sanitize_text_field()或相应的函数来清理和验证用户输入，以防止XSS攻击和其他安全问题。
• 使用esc_url()和esc_attr()等函数来转义输出，以确保HTML和URL的输出是安全的。

通过以上步骤，你可以创建一个安全的自定义表单，并使用nonce字段来防止CSRF攻击。