剖析 `is_user_logged_in()` 函数的源码，解释它如何检查 `Cookie` 和全局变量来判断登录状态。

嘿，大家好！我是今天的主讲人，咱们今天聊聊 WordPress 里面的 is_user_logged_in() 函数，看看它是怎么偷偷摸摸地检查你的 Cookie 和全局变量，来判断你是不是已经登录了。这玩意儿看似简单，实则里面藏着不少门道。

is_user_logged_in()：登录状态的幕后侦探

is_user_logged_in() 函数是 WordPress 里面一个非常基础但又非常重要的函数。它的作用只有一个：告诉你当前用户是不是已经登录了。它的返回值非常简单：

• true：用户已登录
• false：用户未登录

但是，它是怎么知道你登录没登录的呢？难道它会读心术吗？当然不是！它主要靠两大法宝： Cookie 和全局变量。

第一大法宝：Cookie 追踪

Cookie 可以理解为网站在你电脑上放的小纸条，里面记录了一些信息，比如你的登录状态，你的偏好设置等等。每次你访问网站的时候，你的浏览器都会把这些小纸条（Cookie）带给网站，网站就能根据这些信息来认出你。

is_user_logged_in() 函数会检查有没有特定的 Cookie 来判断你是否登录。具体来说，它会检查以下两个 Cookie：

• wordpress_logged_in_[hash]：这个 Cookie 存储了用户的登录信息，[hash] 部分是根据站点 URL 和用户 ID 生成的一个哈希值，用来保证 Cookie 的唯一性。
• wordpress_sec_[hash]： 用于双重验证，防止会话劫持等安全问题。

如果这两个 Cookie 都存在，并且能够通过验证，那么 is_user_logged_in() 函数就会认为你已经登录了。

代码示例：Cookie 检查的简化版

为了方便大家理解，这里给出一个 Cookie 检查的简化版代码。注意，这只是一个示例，并非 is_user_logged_in() 函数的完整实现。

<?php

function check_login_cookie() {
  // 模拟获取 Cookie 的值
  $logged_in_cookie = $_COOKIE['wordpress_logged_in_somehash'] ?? '';
  $secure_cookie = $_COOKIE['wordpress_sec_somehash'] ?? '';

  if (empty($logged_in_cookie) || empty($secure_cookie)) {
    return false; // Cookie 不存在，说明未登录
  }

  // 这里可以添加更复杂的 Cookie 验证逻辑，比如检查 Cookie 的有效期，验证哈希值等等
  // 为了简化，这里直接返回 true
  return true; // Cookie 存在，认为已登录
}

// 调用函数进行检查
if (check_login_cookie()) {
  echo "用户已登录";
} else {
  echo "用户未登录";
}

?>

第二大法宝：全局变量守护

除了 Cookie 之外，is_user_logged_in() 函数还会检查一个非常重要的全局变量：$current_user。这个变量存储了当前登录用户的详细信息，比如用户名，用户 ID，邮箱等等。

如果 $current_user 变量已经被设置，并且包含有效的用户信息，那么 is_user_logged_in() 函数也会认为你已经登录了。

代码示例：全局变量检查

<?php

// 模拟设置 $current_user 全局变量
global $current_user;
$current_user = new stdClass();
$current_user->ID = 123; // 假设用户 ID 是 123
$current_user->user_login = 'john_doe';

function check_global_user() {
  global $current_user;

  if (empty($current_user) || empty($current_user->ID)) {
    return false; // 全局变量未设置，或者用户 ID 为空，说明未登录
  }

  return true; // 全局变量已设置，并且用户 ID 不为空，认为已登录
}

// 调用函数进行检查
if (check_global_user()) {
  echo "用户已登录";
} else {
  echo "用户未登录";
}

?>

is_user_logged_in() 函数的真面目（简化版）

现在，让我们把 Cookie 检查和全局变量检查结合起来，看看 is_user_logged_in() 函数的简化版实现：

<?php

function is_user_logged_in_simplified() {
  // 检查 Cookie
  $logged_in_cookie = $_COOKIE['wordpress_logged_in_somehash'] ?? '';
  $secure_cookie = $_COOKIE['wordpress_sec_somehash'] ?? '';

  if (empty($logged_in_cookie) || empty($secure_cookie)) {
    // Cookie 不存在，继续检查全局变量
    global $current_user;

    if (empty($current_user) || empty($current_user->ID)) {
      return false; // 全局变量也未设置，说明未登录
    } else {
      return true; // 全局变量已设置，认为已登录
    }
  } else {
    // Cookie 存在，认为已登录
    return true;
  }
}

// 调用函数进行检查
if (is_user_logged_in_simplified()) {
  echo "用户已登录";
} else {
  echo "用户未登录";
}

?>

这个简化版的 is_user_logged_in_simplified() 函数首先检查 Cookie，如果 Cookie 不存在，再检查全局变量 $current_user。只有当 Cookie 和全局变量都未设置的时候，才会返回 false，表示用户未登录。

实际源码分析

虽然上面的代码只是一个简化版的示例，但是它已经抓住了 is_user_logged_in() 函数的核心思想。现在，让我们来看看 WordPress 官方的 is_user_logged_in() 函数的源码（截取自 wp-includes/pluggable.php）：

<?php
/**
 * Determines whether the current visitor is a logged in user.
 *
 * @since 2.0.0
 *
 * @return bool True if user is logged in, false if not.
 */
function is_user_logged_in() {
    $user = wp_get_current_user();

    return ( $user->exists() );
}

看到没？ 实际上它调用了 wp_get_current_user() 函数。我们继续深入，看看 wp_get_current_user() 函数的源码：

<?php
/**
 * Retrieve the current user object.
 *
 * @since 2.0.0
 *
 * @return WP_User Current user's WP_User object.
 */
function wp_get_current_user() {
    global $current_user, $wp_roles;

    if ( ! ( $current_user instanceof WP_User ) ) {
        if ( isset( $_COOKIE[ LOGGED_IN_COOKIE ] ) ) {
            wp_set_current_user();
        } else {
            $current_user = new WP_User( 0 );
        }
    }

    return $current_user;
}

可以看到， wp_get_current_user() 函数首先检查全局变量 $current_user 是否已经是一个 WP_User 类的实例。 如果不是， 它会检查 LOGGED_IN_COOKIE 这个 Cookie 是否存在。如果存在，则调用 wp_set_current_user() 函数来设置 $current_user 全局变量。 如果 LOGGED_IN_COOKIE 不存在，则创建一个空的 WP_User 对象。

wp_set_current_user() 函数才是真正干活的，它会验证 Cookie 的有效性，并根据 Cookie 中的信息来填充 $current_user 全局变量。这个函数比较复杂，涉及到数据库查询，加密解密等等，这里就不展开讲解了。

流程图总结

为了更清晰地展示 is_user_logged_in() 函数的判断逻辑，我们可以用一个流程图来总结一下：

graph TD
    A[开始] --> B{检查 LOGGED_IN_COOKIE 是否存在};
    B -- 是 --> C{调用 wp_set_current_user()};
    B -- 否 --> D{检查 $current_user 是否是 WP_User 实例};
    D -- 是 --> E{返回 $current_user};
    D -- 否 --> F{创建空的 WP_User 对象};
    F --> E;
    C --> E;
    E --> G{返回 $current_user};
    G --> H{调用 $user->exists()};
    H --> I{返回 true 或 false};
    I --> J[结束];

安全注意事项

虽然 is_user_logged_in() 函数能够判断用户的登录状态，但是我们不能完全依赖它来保护我们的网站。因为 Cookie 可能会被篡改，全局变量也可能会被恶意修改。

为了提高网站的安全性，我们应该采取以下措施：

• 使用 HTTPS 协议：HTTPS 协议可以加密 Cookie 的传输过程，防止 Cookie 被窃取。
• 设置 Cookie 的 HttpOnly 属性：HttpOnly 属性可以防止 JavaScript 访问 Cookie，防止 XSS 攻击。
• 定期更新 WordPress 版本：WordPress 官方会不断修复安全漏洞，定期更新版本可以提高网站的安全性。
• 使用安全插件：有很多安全插件可以帮助我们加强网站的安全性，比如 Wordfence，Sucuri Security 等等。

is_user_logged_in() 函数的应用场景

is_user_logged_in() 函数在 WordPress 开发中应用非常广泛，比如：

• 控制内容的显示：可以根据用户的登录状态来显示不同的内容，比如只允许登录用户访问某些页面，或者只允许登录用户发表评论。
• 控制功能的访问：可以根据用户的登录状态来控制功能的访问，比如只允许管理员访问某些设置页面。
• 个性化用户体验：可以根据用户的登录状态来个性化用户体验，比如显示用户的用户名，头像等等。

表格总结

为了方便大家回顾，这里用一个表格来总结一下 is_user_logged_in() 函数的相关知识点：

知识点	说明
函数名称	is_user_logged_in()
作用	判断当前用户是否已经登录
返回值	true：用户已登录，false：用户未登录
主要依据	Cookie (wordpress_logged_in_[hash], wordpress_sec_[hash]) 和全局变量 $current_user
安全注意事项	不要完全依赖 is_user_logged_in() 函数来保护网站，应该采取其他安全措施，比如使用 HTTPS 协议，设置 Cookie 的 HttpOnly 属性等等。
应用场景	控制内容的显示，控制功能的访问，个性化用户体验等等。

总结

好了，今天的讲座就到这里了。希望通过今天的讲解，大家对 is_user_logged_in() 函数有了更深入的了解。记住，虽然这个函数看起来很简单，但是它在 WordPress 里面扮演着非常重要的角色。掌握了它，你就掌握了控制用户登录状态的钥匙。

最后，祝大家编程愉快！ 咱们下期再见！