WordPressのオリジナルテーマでお問い合わせフォームに入力した値を確認画面に反映させたい

Question

WordPressでお問い合わせフォームの確認画面を作成したいです。

お問い合わせフォームで送信ボタンをクリック→確認画面へ遷移→確認画面で送信ボタンをクリック→メール送信、という流れにしたいのですが、確認画面への遷移が上手くいきません。

WordPressの固定ページには確認画面のページを登録しており、プレビューで問題なく表示されます。
また、お問い合わせ画面で送信ボタンに<a></a>でリンクを貼れば問題なく確認画面へ遷移しますが、当たり前ですがお問い合わせフォームに入力した値の表示は出ていません。

現状のソース

お問い合わせフォーム（page-contact.php）

<form action="../wp-content/themes/HomePage/page-contact_verification.php" method="post">
                         
<div class="contact_form">
  <div class="contact_form_left">
   <p>氏名</p>
   <input class="ef" type="text" name="name" id="name">
   <p>会社名</p>
   <input class="ef" type="text" name="company" id="company">
   <p>メールアドレス</p>
   <input class="ef" type="text" name="mail" id="mail">
   <p>電話番号</p>
   <input class="ef" type="text" name="tell" id="tell">
  </div>
  <div class="contact_form_right">
   <p>お問い合わせ内容</p>
   <textarea class="ef word" type="text" name="message" id="message" required></textarea>
<!-- 応募ボタン -->
  <div class="apply_button">
    <button class="mailForm__submit" type="submit" id="apply">送信</button>
  </div>
 </div>
</div>
</form>

確認画面（page-contact_verification.php）

<form class="mailForm" action="../wp-content/themes/HomePage/page-contact_complete.php" method="post"> 
<div class="form">
<!-- 問い合わせ欄 -->
 <h3>入力内容確認</h3>
 <p>以下の内容で送信します。</p>
 <p>よろしければ「送信」ボタンを押してください。</p>
 <table>
 <tr>
   <td class="form_title">氏名</td>
   <td><?php echo($_POST["name"]); ?></td>
　</tr>
  <tr>
   <td class="form_title">会社名</td>
   <td><?php echo($_POST["company"]); ?></td>
  </tr>
  <tr>
   <td class="form_title">メールアドレス</td>
   <td><?php echo($_POST["mail"]); ?></td>
  </tr>
  <tr>
   <td class="form_title">電話番号</td>
   <td><?php echo($_POST["tell"]); ?></td>
  </tr>
  <tr>
   <td class="form_title">メッセージ本文</td>
   <td><?php echo($_POST["message"]); ?></td>
  </tr>
  </table>
 <!-- 応募ボタン -->
  <div class="apply_button">
   <a href="<?php echo home_url( 'contact' ); ?>">
    <button type="submit" id="return">修正する</button>
   </a>
                              
  <div class="apply_button">
    <input type="hidden" id="token" name="token" value="1234567" />
    <button class="mailForm__submit" type="submit" id="apply">送信</button>
  </div>
  </div>
</div>
</form> 

page-contact_complete.phpはメール送信用のファイルです。
page-contact_verification.phpは直接確認画面を表示して送信をクリックすればpage-contact_complete.phpが動きます。
この状態でお問い合わせフォームより送信ボタンを押すと下記のエラーが出ます。

「Fatal error: Uncaught Error: Call to undefined function get_header() in /home/cbpz5aqnchh/cbpz5aqnchh.wp.xdomain.jp/public_html/wp-content/themes/HomePage/page-contact_verification.php:4 Stack trace: #0 {main} thrown in /home/cbpz5aqnchh/cbpz5aqnchh.wp.xdomain.jp/public_html/wp-content/themes/HomePage/page-contact_verification.php on line 4」

page-contact.phpとpage-contact_verification.phpは同じ階層にあります。
themesの中にオリジナルテーマのフォルダを作成し、そこにフォルダ分けせずにすべて入れています。

どうすればお問い合わせフォームに入力した値が確認画面に反映され、且つ問題なくページが表示されるのでしょうか？
お手数ですがどなたかご教授頂けますと幸いです。

Comments

[CHERRY]

WordPress のプラグインは、使わずに実装されているということでしょうか？

ファイル名が、WordPress 固定ページのカスタムテンプレートファイル名と重なると思いますが、固定ページとして表示しているということでしょうか？

[退会済みユーザー]

WordPress のプラグインは使用せずに実装したいです。
申し訳ありません、知識不足で「固定ページのカスタムテンプレートファイル名と重なる」がよくわからないのですが、ファイルは固定ページとして表示しており、URLスラッグは使用していません。

Answer 1

XSS脆弱性

URLパラメータによって任意のタグ・スクリプト・属性値の出力を行えてしまう脆弱性
事象　ユーザー情報の漏洩、アカウントのクラックなど
対策　$_POST,$_GETなどの値は無害化して出力

CSRF脆弱性

正規の手順を踏まない外部からのリクエストを受け入れてしまう脆弱性
事象　外部サイトユーザーの意図しないサービス操作、アカウントのクラックなど
対策　nonceを使う

テーマのファイルを直接呼び出してもWordPressの関数は利用できません
エラーメッセージはそこに起因するものでしょう

wp_nonceしかりWordPressでフォーム作るときは
WordPressの用意している仕組みを利用しましょう

メール送信についてもwp_mailを使えば
一応それなりにメールヘッダインジェクション対策はされます
そこでも結局ユーザー入力を無批判に利用して
ヘッダ文字列を組み上げてるようでは意味がないですが

Comments

[退会済みユーザー]

丁寧にご指摘いただきありがとうございます。
wp_mailでやれるよう調べてみます。
ありがとうございました。

Answer 2

固定ページに、独自のクエリ変数を渡したいということであれば、query_vars フックで、変数名を登録しておく必要があります。

ドキュメントより、my_var を使いたい場合の例

function add_query_vars_filter( $vars ){
  $vars[] = "my_var";
  return $vars;
}
add_filter( 'query_vars', 'add_query_vars_filter' );

その上で、get_query_var 関数で、パラメータを取得して利用します。

Comments

[CHERRY]

なお、セキュリティ面を考えると WordPress nonce ( https://wpdocs.osdn.jp/WordPress_Nonce ) に対応することを検討した方が良いと思います。
これらを考えると独自フォームよりは、プラグインで対応する方が良い場合もあると思います。

[退会済みユーザー]

ご回答いただきありがとうございます。

これはfunctions.phpに
「function add_query_vars_filter( $vars ){
$vars[] = "my_var";
return $vars;
}
add_filter( 'query_vars', 'add_query_vars_filter' );」
と記載をすれば良いということでしょうか？

やってみたのですが同じエラーが出てしまいました・・・