WordPress留言板系统技术实践
概念区分：留言板与联系表单
联系表单是单次提交，用户填完发送，数据通常直接发邮件给管理员，不持久化存储。留言板有持久化存储，留言内容在前端展示或后台管理，支持多条留言列表、回复、审核等功能，更接近轻量级社区互动系统。企业官网的"留言咨询"偏联系表单，品牌社区和课程网站等需要用户互动的场景才真正需要留言板。
方案选型
WordPress原生评论功能简陋，定制空间低，适合博客内容站。Contact Form 7加DB存储插件组合，前端无展示，后台管理需额外插件，适合企业询盘。WPForms Pro内置后台管理较完善，适合企业官网。自定义CPT加ACF方案技术复杂度高但定制空间极大，适合复杂业务场景。第三方SaaS如Disqus会加载大量第三方脚本拖累LCP，且用户数据存储在第三方平台，对企业网站存在数据风险。
自定义CPT留言系统设计
用自定义内容类型（CPT）重建留言系统时，核心设计包括：新建inquiry内容类型，用ACF附加姓名、电话、邮箱、留言内容、来源页面、提交时间等字段；前端表单通过JavaScript异步提交，调用WordPress REST API写入数据；提交成功后触发wp_mail同时给客户和管理员发送确认邮件；后台增加自定义列表视图，支持按电话搜索、按时间筛选、标记跟进状态。
前端异步提交使用REST API而非传统admin-ajax.php的优势：请求结构更规范，前后端解耦更彻底；在页面缓存场景下，静态页面也能通过JS动态提交，nonce通过单独JS变量动态注入避免失效。
安全防护要点
REST API权限验证
留言提交端点绝不能将permission_callback设置为__return_true，这等于敞开后门。必须通过nonce验证确认请求来自自身页面而非外部脚本。前端页面加载时注入wp_create_nonce生成的nonce值，后端通过wp_verify_nonce验证。
频率限制
使用Transient记录同一IP的提交频次，超过阈值返回429错误，防止脚本批量轰炸。
垃圾过滤
网站上线后必定会遭遇自动化机器人提交垃圾留言。基础防护是Honeypot字段——一个对用户不可见但机器人会填写的CSS隐藏字段，后端检测该字段非空则直接丢弃。进阶方案使用Cloudflare Turnstile，对Core Web Vitals的影响较小。
转化优化设计
提交成功后不应只显示"提交成功"，应告知用户预计回复时间以降低焦虑。每增加一个必填字段转化率平均下降10-15%，需严格评估字段必要性。移动端流量占比超过65%，电话字段用type="tel"调起数字键盘，邮箱字段用type="email"。客户提交留言后立即收到确认邮件，邮件中带留言内容摘要，比人工回复更快建立信任。
选型决策逻辑
只需简单询盘不需前端展示留言列表，用WPForms Lite或CF7。需要后台管理留言和跟进状态标记，用WPForms Pro或自定义CPT方案。需要前端展示留言列表供用户公开查看，用自定义CPT加REST API方案。需要留言回复、点赞、用户账号绑定等社区功能，应定制开发。对数据安全有高要求且涉及客户隐私，完全自建方案确保数据不出服务器。
