分析 WordPress `wp_remote_post()` 函数源码：如何处理 `HTTP_REFERER` 防止未经授权请求。

各位观众老爷们，大家好！我是今天的主讲人，咱们今天聊聊 WordPress 里 wp_remote_post() 这个小可爱，以及它如何小心翼翼地保护自己，防止那些不怀好意的家伙冒充正经请求。

开场白：wp_remote_post() 的身世之谜

wp_remote_post()，顾名思义，就是 WordPress 用来发送 HTTP POST 请求的函数。 它就像一个邮递员，负责把你的数据包裹送到远方的服务器。 但是，邮递员也不能随便送信啊，得确认收件地址和发件人身份，对吧？ 这就是我们今天要探讨的重点：HTTP_REFERER 的处理。

HTTP_REFERER：一个不太靠谱的朋友

HTTP_REFERER 是 HTTP 请求头中的一个字段，它告诉服务器，你是从哪个页面链接到当前页面的。 听起来很安全，对不对？ 但是，HTTP_REFERER 就像一个爱撒谎的朋友，可以被轻易伪造。 所以，仅仅依靠 HTTP_REFERER 来验证请求的合法性是非常危险的。

wp_remote_post() 的防御姿态

WordPress 深知 HTTP_REFERER 的不可靠性，所以在 wp_remote_post() 中，它并没有直接依赖 HTTP_REFERER 来进行安全验证。 相反，它采取了更加稳妥的策略，主要是依靠 Nonce 和 Capabilities。

Nonce：一次性令牌，防伪利器

Nonce (Number used Once) 是一种加密令牌，只能使用一次。 WordPress 使用 Nonce 来验证请求的合法性。 简单来说，就是每次发送请求时，都会生成一个唯一的 Nonce，服务器收到请求后，会验证 Nonce 是否有效。 如果 Nonce 无效，请求就会被拒绝。

Capabilities：能力验证，各司其职

WordPress 使用 Capabilities 来控制用户对各种功能的访问权限。 只有拥有特定 Capability 的用户才能执行某些操作。 例如，只有管理员才能发布文章。

wp_remote_post() 源码分析：抽丝剥茧

虽然 wp_remote_post() 本身并没有直接处理 HTTP_REFERER，但它在配合其他函数使用时，会间接地通过 Nonce 和 Capabilities 来防范未经授权的请求。 让我们深入源码，看看它是如何运作的。

首先，我们来看一个使用 wp_remote_post() 的典型场景：

<?php
// 假设这是你的插件或主题代码

// 生成 Nonce
$nonce = wp_create_nonce( 'my_action' );

// 构建 POST 数据
$post_data = array(
    'action' => 'my_action',
    'data' => 'some data',
    '_wpnonce' => $nonce, // 将 Nonce 传递给服务器
);

// 使用 wp_remote_post() 发送请求
$response = wp_remote_post( admin_url( 'admin-ajax.php' ), array(
    'body' => $post_data,
));

// 处理响应
if ( is_wp_error( $response ) ) {
    $error_message = $response->get_error_message();
    echo "Something went wrong: $error_message";
} else {
    echo 'Response: ' . wp_remote_retrieve_body( $response );
}
?>

在这个例子中，我们首先使用 wp_create_nonce() 函数生成一个 Nonce。 然后，我们将 Nonce 包含在 POST 数据中，并使用 wp_remote_post() 函数发送请求。

接下来，我们需要在服务器端验证 Nonce。 这通常是在 admin-ajax.php 中完成的。

<?php
// 在 admin-ajax.php 中

add_action( 'wp_ajax_my_action', 'my_ajax_handler' );
add_action( 'wp_ajax_nopriv_my_action', 'my_ajax_handler' ); // 如果需要允许未登录用户访问

function my_ajax_handler() {
    // 验证 Nonce
    check_ajax_referer( 'my_action', '_wpnonce' );

    // 验证用户权限 (Capabilities)
    if ( ! current_user_can( 'manage_options' ) ) {
        wp_send_json_error( 'You do not have permission to do this.' );
    }

    // 执行操作
    $data = $_POST['data'];
    $response = 'You sent: ' . $data;

    // 返回响应
    wp_send_json_success( $response );
}
?>

在这个例子中，我们使用 check_ajax_referer() 函数来验证 Nonce。 如果 Nonce 无效，check_ajax_referer() 函数会终止脚本的执行。 我们还使用 current_user_can() 函数来验证用户是否拥有 manage_options Capability。 如果用户没有这个 Capability，我们会返回一个错误信息。

源码剖析：check_ajax_referer() 的秘密

check_ajax_referer() 函数的源码如下：

function check_ajax_referer( $action = -1, $query_arg = false, $die = true ) {
    if ( false === $query_arg ) {
        $query_arg = '_wpnonce';
    }

    $nonce = '';
    if ( isset( $_REQUEST[ $query_arg ] ) ) {
        $nonce = $_REQUEST[ $query_arg ];
    }

    $result = wp_verify_nonce( $nonce, $action );

    if ( false === $result && $die ) {
        wp_nonce_ays( $action );
        exit;
    }

    return $result;
}

可以看到，check_ajax_referer() 函数首先从 $_REQUEST 数组中获取 Nonce。 然后，它使用 wp_verify_nonce() 函数来验证 Nonce。 如果 Nonce 无效，并且 $die 参数为 true，则会调用 wp_nonce_ays() 函数显示一个确认页面，并终止脚本的执行。

wp_verify_nonce()：Nonce 验证的核心

wp_verify_nonce() 函数是 Nonce 验证的核心。 它的源码比较复杂，涉及到时间戳、用户 ID 等因素。 简单来说，它会检查 Nonce 是否在有效期内，并且是否与用户 ID 和 action 相关联。

wp_nonce_ays()：优雅的错误提示

wp_nonce_ays() 函数用于显示一个确认页面，提示用户 Nonce 无效。 这个页面通常包含一个“确认”按钮，如果用户点击这个按钮，请求会被重新发送。

总结：wp_remote_post() 的安全策略

虽然 wp_remote_post() 本身并没有直接处理 HTTP_REFERER，但它在配合其他函数（如 wp_create_nonce(), check_ajax_referer(), current_user_can()）使用时，可以有效地防范未经授权的请求。

• Nonce: 作为一次性令牌，防止 CSRF 攻击。
• Capabilities: 限制用户权限，确保只有授权用户才能执行特定操作。

HTTP_REFERER 的角色：辅助验证，不可依赖

尽管 WordPress 不依赖 HTTP_REFERER 进行安全验证，但它仍然可以在某些情况下作为辅助验证手段。 例如，你可以记录 HTTP_REFERER，以便在出现安全问题时进行分析。 但是，绝对不要仅仅依靠 HTTP_REFERER 来验证请求的合法性。

代码示例：一个更完整的例子

为了更好地理解 wp_remote_post() 的安全策略，我们来看一个更完整的例子。

前端代码 (JavaScript):

jQuery(document).ready(function($) {
    $('#my_button').click(function() {
        var data = {
            'action': 'my_ajax_action',
            'data': 'Hello from JavaScript!',
            '_wpnonce': MyAjax.nonce // 从 WordPress 传递 Nonce
        };

        $.post(MyAjax.ajaxurl, data, function(response) {
            alert('Server response: ' + response);
        });
    });
});

PHP 代码 (functions.php 或插件文件):

<?php

// 注册 JavaScript 文件
function my_enqueue_scripts() {
    wp_enqueue_script( 'my-ajax-script', get_template_directory_uri() . '/js/my-ajax.js', array( 'jquery' ) );

    // 将 AJAX URL 和 Nonce 传递给 JavaScript
    wp_localize_script( 'my-ajax-script', 'MyAjax', array(
        'ajaxurl' => admin_url( 'admin-ajax.php' ),
        'nonce' => wp_create_nonce( 'my_ajax_action' )
    ));
}
add_action( 'wp_enqueue_scripts', 'my_enqueue_scripts' );

// 处理 AJAX 请求
add_action( 'wp_ajax_my_ajax_action', 'my_ajax_action_callback' );
add_action( 'wp_ajax_nopriv_my_ajax_action', 'my_ajax_action_callback' ); // 允许未登录用户访问 (谨慎使用)

function my_ajax_action_callback() {
    // 验证 Nonce
    check_ajax_referer( 'my_ajax_action', '_wpnonce' );

    // 验证用户权限
    if ( ! is_user_logged_in() ) {
        wp_send_json_error( 'You must be logged in to do this.' );
    }

    // 获取数据
    $data = $_POST['data'];

    // 执行操作 (例如，保存数据到数据库)
    // ...

    // 返回响应
    wp_send_json_success( 'Data received: ' . $data );
}
?>

代码解释:

1. 前端 JavaScript: 通过 jQuery 的 $.post() 函数发送 AJAX 请求。 注意，MyAjax.ajaxurl 和 MyAjax.nonce 是从 WordPress 传递过来的。
2. PHP (enqueue_scripts): 使用 wp_enqueue_script() 注册 JavaScript 文件，并使用 wp_localize_script() 函数将 AJAX URL 和 Nonce 传递给 JavaScript。
3. PHP (ajax_action_callback): 在 admin-ajax.php 中处理 AJAX 请求。 首先使用 check_ajax_referer() 验证 Nonce，然后使用 is_user_logged_in() 验证用户是否已登录。 如果验证通过，则获取数据并执行操作，最后返回响应。

表格总结：wp_remote_post() 安全机制

安全机制	描述	重要性
Nonce	一次性令牌，用于验证请求的来源和防止 CSRF 攻击。 通过 wp_create_nonce() 生成，通过 check_ajax_referer() 和 wp_verify_nonce() 验证。	高
Capabilities	权限控制，用于限制用户对各种功能的访问权限。通过 current_user_can() 函数进行验证。	高
HTTP_REFERER	HTTP 请求头中的一个字段，指示请求的来源页面。 可以作为辅助验证手段，但不可依赖。	低
输入验证	验证用户输入的数据是否符合预期格式，防止 XSS 攻击和 SQL 注入攻击。 使用 sanitize_text_field(), esc_attr(), esc_html() 等函数进行过滤和转义。	中
输出转义	在将数据输出到 HTML 页面时，对特殊字符进行转义，防止 XSS 攻击。 使用 esc_attr(), esc_html(), esc_url() 等函数进行转义。	中

最佳实践：安全编码，防患于未然

• 始终验证用户输入： 永远不要相信用户输入的数据。 使用 sanitize_text_field(), esc_attr(), esc_html() 等函数对用户输入的数据进行过滤和转义。
• 使用 Nonce 来保护敏感操作： 对于任何涉及数据修改的操作，都应该使用 Nonce 来验证请求的合法性。
• 使用 Capabilities 来控制用户权限： 确保只有授权用户才能执行特定操作。
• 定期更新 WordPress 和插件： 及时更新 WordPress 和插件，以修复已知的安全漏洞。
• 使用安全插件： 可以使用安全插件来增强 WordPress 的安全性。

最后的忠告：安全无小事

WordPress 的安全性是一个复杂的话题。 wp_remote_post() 只是其中的一个环节。 作为开发者，我们应该始终保持警惕，采取必要的安全措施，以保护我们的网站和用户数据。 安全无小事，防患于未然。

好了，今天的讲座就到这里。 感谢各位观众老爷的观看！ 如果有什么疑问，欢迎在评论区留言。 我们下期再见！