HDWebmobile 照片与视频评论

一款 WooCommerce 插件，允许客户在产品评论中附加照片和短视频，并直接显示在产品页面的评论列表中。

• WordPress.org： https://wordpress.org/plugins/hdwebmobile-photo-video-reviews/ （等待首次提交）
• 要求： WordPress 6.9+、WooCommerce、PHP 7.4+
• 许可证： GPLv2 或更高版本

此插件存在的原因

一款竞品“Customer Reviews for WooCommerce”插件附带了一个独立的 AJAX 操作，用于上传评论照片，该操作完全没有进行任何身份验证、权限检查或 nonce 校验（CVE-2026-12684），允许任何未认证的访客直接将任意图片/视频文件上传到 WordPress 媒体库。

此插件通过构造方式而非打补丁来彻底封堵这一整类漏洞：

• 完全不存在独立的上传端点 —— 文件仅作为通过 wp-comments-post.php（WordPress 自身的评论管道，包含垃圾评论检查、Akismet（若已安装）和审核机制）进行的真实 WordPress 评论提交的副作用而被处理。
• 除此之外，还需要一个产品作用域的 nonce，该 nonce 随评论表单生成，并在处理任何文件之前进行验证。
• 媒体仅会附加到被确认为真实 WooCommerce 产品评论的评论上（评论的父文章确实是 product），绝不会附加到任何其他评论类型。
• 每次上传都经过 wp_handle_upload() —— WordPress 自身经过审查的上传处理器 —— 并带有明确的图片/视频 MIME 白名单，绝不使用手写的文件移动逻辑。
• 如果商店要求验证购买后才能发表评论，则媒体仅会附加给实际购买过该产品的评论者。

功能特性

• 可选的图片（JPG、PNG、GIF、WebP）和视频（MP4、WebM、MOV）上传字段，添加到原生 WooCommerce 评论表单中
• 可配置每条评论的最大文件数（默认 3 个），以及图片与视频的独立大小上限