剖析 `_wp_current_user` 全局变量在用户身份认证中的作用。 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

嘿，大家好！今天咱们来聊聊WordPress里一个神秘又重要的家伙：$_wp_current_user 全局变量。别看名字长，其实它就是WordPress用户认证体系里的一个核心枢纽。想象一下，它就像一个随身携带的“身份令牌”，记录着当前登录用户的所有信息，让WordPress知道“哦，原来是你来了！”。

一、$_wp_current_user 是个啥？

首先，我们要明确一点：$_wp_current_user 是一个全局变量，这意味着在WordPress的任何地方，你都可以访问它。它的主要作用是存储当前登录用户的信息。那么，它里面都有些什么东西呢？简单来说，它是一个WP_User 类的实例。 WP_User 类包含了用户的ID、用户名、邮箱、权限、角色等等。

举个例子，你可以这样访问用户的ID：

global $_wp_current_user;

if ( is_user_logged_in() ) {
  echo '当前用户的ID是：' . $_wp_current_user->ID;
} else {
  echo '当前没有用户登录';
}

这段代码首先声明了$_wp_current_user 是一个全局变量，然后检查用户是否登录。如果登录了，就输出用户的ID。

二、$_wp_current_user 的出生地：wp-includes/pluggable.php

这个全局变量是在 wp-includes/pluggable.php 文件中被定义的。这个文件是WordPress认证的核心文件，负责处理用户的登录、注销、权限验证等操作。在这个文件中，你会看到类似这样的代码：

function wp_get_current_user() {
  global $current_user, $_wp_current_user;

  if ( ! ( $current_user instanceof WP_User ) ) {
    if ( isset( $_wp_current_user ) && ( $_wp_current_user instanceof WP_User ) ) {
      $current_user = $_wp_current_user;
    } else {
      $current_user = new WP_User();
    }
  }

  return $current_user;
}

这段代码看起来有点复杂，但其实它在做的事情很简单：

它首先声明了两个全局变量：$current_user 和 $_wp_current_user。
然后，它检查 $current_user 是否已经是一个 WP_User 类的实例。
如果没有，它就检查 $_wp_current_user 是否存在且是一个 WP_User 类的实例。如果是，就把 $_wp_current_user 赋值给 $current_user。
如果 $_wp_current_user 也不存在，就创建一个新的 WP_User 类的实例。

关键点在于，$_wp_current_user 是一个“备胎”，如果 $current_user 不存在，就用它来填充。而$current_user才是WordPress真正用来存储当前用户信息的变量。

三、$_wp_current_user 的初始化：用户登录

那么，$_wp_current_user 是什么时候被赋值的呢？答案是：在用户登录的时候。当用户成功登录后，WordPress会创建一个 WP_User 类的实例，并将其赋值给 $_wp_current_user。

这个过程大致是这样的：

用户在登录页面输入用户名和密码。
WordPress验证用户名和密码是否正确。
如果验证成功，WordPress会从数据库中读取用户的相关信息。
WordPress创建一个 WP_User 类的实例，并将用户信息填充到这个实例中。
WordPress将这个 WP_User 类的实例赋值给 $_wp_current_user 和 $current_user。
WordPress设置用户的登录Cookie，以便下次用户访问时可以自动登录。

我们可以用代码来模拟这个过程：

// 假设我们已经验证了用户名和密码，并从数据库中获取了用户信息
$user_data = array(
  'ID' => 123,
  'user_login' => 'johndoe',
  'user_email' => '[email protected]',
  'roles' => array('administrator')
);

// 创建一个 WP_User 类的实例
$user = new WP_User( $user_data['ID'] );

// 将用户信息填充到 WP_User 类的实例中
$user->data = (object) $user_data;
$user->roles = $user_data['roles'];

// 将 WP_User 类的实例赋值给 $_wp_current_user
global $_wp_current_user;
$_wp_current_user = $user;

// 将 WP_User 类的实例赋值给 $current_user
global $current_user;
$current_user = $user;

// 现在，我们就可以通过 $_wp_current_user 或 $current_user 访问用户信息了
echo '当前用户的用户名是：' . $_wp_current_user->user_login; // 输出：当前用户的用户名是：johndoe
echo '当前用户的角色是：' . $current_user->roles[0]; // 输出：当前用户的角色是：administrator

四、$_wp_current_user 的应用场景：权限控制

有了 $_wp_current_user，我们就可以在WordPress中进行权限控制了。比如，我们可以根据用户的角色来决定是否允许用户访问某个页面或执行某个操作。

WordPress提供了一些函数来帮助我们进行权限控制，比如：

is_user_logged_in()：判断用户是否登录。
current_user_can( $capability )：判断当前用户是否具有某个权限。

current_user_can() 函数会检查 $_wp_current_user 中的用户信息，判断用户是否具有指定的权限。

举个例子，我们可以这样判断当前用户是否是管理员：

if ( current_user_can( 'administrator' ) ) {
  echo '欢迎，管理员！';
} else {
  echo '您没有权限访问此页面。';
}

administrator 是一个权限，表示管理员权限。 current_user_can( 'administrator' ) 会检查当前用户的角色是否包含 administrator，如果包含，就返回 true，否则返回 false。

五、$_wp_current_user 的安全问题：谨防恶意修改

虽然 $_wp_current_user 很方便，但我们也需要注意它的安全问题。因为它是全局变量，所以任何代码都可以访问它，甚至修改它。如果恶意代码修改了 $_wp_current_user 中的用户信息，可能会导致严重的后果，比如权限被提升、数据被篡改等等。

因此，我们需要谨慎使用 $_wp_current_user，避免在不安全的代码中使用它。另外，我们也可以使用一些安全措施来保护 $_wp_current_user，比如：

对用户输入进行验证和过滤，防止恶意代码注入。
使用安全的编码规范，避免出现安全漏洞。
定期更新WordPress和插件，修复已知的安全漏洞。

六、$_wp_current_user 与 Cookie：持久化登录状态

WordPress 如何记住用户的登录状态呢？这就涉及到 Cookie 的概念了。当用户成功登录后，WordPress 会在用户的浏览器中设置一些 Cookie，这些 Cookie 包含了用户的登录信息。下次用户访问网站时，浏览器会自动将这些 Cookie 发送给服务器，WordPress 就可以根据这些 Cookie 来判断用户是否已经登录，并自动登录用户。

$_wp_current_user 的值并不是直接存储在 Cookie 中的，而是通过 Cookie 中的信息来重建的。 Cookie 中通常存储的是用户的ID、用户名、密码哈希等信息。 WordPress 会根据这些信息从数据库中读取用户的完整信息，并将其赋值给 $_wp_current_user。

七、$_wp_current_user 的生命周期：何时创建，何时销毁

$_wp_current_user 的生命周期与用户的登录状态息息相关。

创建： 当用户成功登录时，$_wp_current_user 被创建，并赋值为包含用户信息的 WP_User 对象。
存在： 只要用户保持登录状态，$_wp_current_user 就会一直存在于服务器内存中，直到用户注销或登录状态过期。
销毁： 当用户注销时，或者登录状态过期时，$_wp_current_user 会被重置为空，表示当前没有用户登录。

八、$_wp_current_user 与多站点（Multisite）：不同的站点，不同的身份

在 WordPress 多站点环境中，每个站点都有自己的用户表和权限设置。 $_wp_current_user 在不同的站点中会反映当前站点的用户信息。这意味着，即使你在一个站点登录，切换到另一个站点后，$_wp_current_user 会更新为当前站点的用户信息。

九、总结：$_wp_current_user 的价值

$_wp_current_user 是 WordPress 用户认证体系的核心，它提供了以下价值：

身份识别： 让 WordPress 知道当前访问者是谁。
权限控制： 根据用户角色和权限，控制用户可以访问的内容和执行的操作。
个性化体验： 根据用户信息，为用户提供个性化的内容和服务。

下面用表格总结一下$_wp_current_user的作用：

作用	描述	示例
身份识别	记录当前登录用户的ID、用户名、邮箱等信息，让 WordPress 知道当前是谁在访问。	`echo $_wp_current_user->user_login;` // 输出当前用户的用户名
权限控制	根据用户的角色和权限，控制用户可以访问的内容和执行的操作。	`if ( current_user_can( 'edit_posts' ) ) { echo '用户可以编辑文章'; }` // 检查用户是否具有编辑文章的权限
个性化体验	根据用户信息，为用户提供个性化的内容和服务，比如显示用户的头像、昵称等。	`echo '欢迎您，' . $_wp_current_user->display_name . '！';` // 根据当前用户的显示名称输出欢迎信息
插件和主题开发	插件和主题可以利用 `$_wp_current_user` 获取当前用户信息，实现各种功能，比如根据用户角色显示不同的界面、限制用户访问某些功能等。	插件可以根据用户的角色来显示不同的设置选项。
Cookie关联	与 Cookie 配合，实现用户登录状态的持久化，让用户下次访问网站时可以自动登录。	WordPress 使用 Cookie 存储用户的登录信息，以便下次访问时自动登录， `$_wp_current_user` 的值是通过 Cookie 中的信息重建的。
多站点支持	在多站点环境中，不同的站点拥有不同的用户表和权限设置， `$_wp_current_user` 在不同的站点中会反映当前站点的用户信息。	在多站点环境中，用户在不同的站点登录后， `$_wp_current_user` 会更新为当前站点的用户信息。
生命周期管理	`$_wp_current_user` 在用户登录时创建，在用户注销或登录状态过期时销毁，与用户的登录状态保持同步。	用户登录时， `$_wp_current_user` 被赋值为包含用户信息的 `WP_User` 对象；用户注销时， `$_wp_current_user` 会被重置为空。

希望今天的分享能让你对 $_wp_current_user 有更深入的了解！记住，理解了它，你就掌握了 WordPress 用户认证体系的关键。以后在进行插件或主题开发时，就能更加灵活地控制用户的权限，并为用户提供更好的体验啦！下次有机会再和大家分享更多 WordPress 的小秘密！

发表回复 取消回复

发表回复取消回复