HDWebmobile Formula Pricing

使用公式根据客户输入的数字为产品定价——安全求值，绝不使用 PHP 的 eval()。

• WordPress.org: https://wordpress.org/plugins/hdwebmobile-formula-pricing/
• 要求: WordPress 6.9+、WooCommerce、PHP 7.4+
• 许可证: GPLv2 或更高版本

描述

HDWebmobile Formula Pricing 允许客户在产品页面上输入尺寸或数量，并根据您使用这些字段名称编写的公式实时为产品定价（例如，按面积定价的定制切割材料可使用 10 + width * height * 0.05）。对于销售定制尺寸布料、装裱印刷品、雕刻物品或任何按尺寸或数量（而非固定价格）定价的商店来说，这是一个常见的实际需求。

此插件存在的原因

一个名为“Custom Product Addons Pro”的竞品插件通过将商家的公式文本在计算时直接传入 PHP 的 eval() 来实现基于公式的定价（CVE-2026-4001）——这是一个未认证的远程代码执行漏洞。本插件通过构造方式彻底封堵了此类漏洞：

• 公式会被逐字符分词为严格限定的允许片段：数字、您自己配置的字段名称，以及四个算术运算符和括号。公式文本中的任何其他内容——任何其他字母序列、任何类似函数调用的模式、任何特殊字符——都会导致公式在保存时被直接拒绝。
• 令牌流由一个手写的精简算术解析器求值。本插件中不存在 eval()、create_function() 或任何形式的动态函数分发——唯一能执行的操作就是普通数字的加、减、乘、除。
• 面向客户的实时价格预览也绝不会将您的公式暴露给浏览器：它通过 AJAX 回调到您自己的服务器，使用与结账时完全相同的安全求值器计算，因此公式文本本身永远不会发送到访客的浏览器。
• 结账时使用的真实价格始终由服务器端根据产品自身存储的字段和公式重新计算——绝不信任浏览器提交的内容。

功能