发布于 由admin

阐述 WordPress `wp_nonce_tick()` 函数的源码：它是如何生成 `Nonce` 有效期的时间戳。

各位代码界的探险家们，大家好！今天咱们来聊聊 WordPress 里一个挺低调但又很关键的小家伙：wp_nonce_tick()。 它的作用，简单来说，就是给 Nonce 加上一个时间戳，保证 Nonce 的有效期。

想象一下，Nonce 就像一把钥匙，用来打开某些操作的权限之门。为了防止这把钥匙被长期滥用，我们需要给它设定一个有效期，过了这个时间，钥匙就失效了。wp_nonce_tick() 就是负责生成这个“有效期”的。

咱们先来看看 wp_nonce_tick() 的源码，然后一步步剖析它到底是怎么工作的：

<?php
/**
 * Returns the time-dependent variable for nonce creation.
 *
 * The nonce is valid for twelve hours. After that time, the nonce is
 * invalid and cannot be used.
 *
 * @since 3.5.0
 *
 * @return string Number with the current time slice.
 */
function wp_nonce_tick() {
    /**
     * Filters the time slice for the nonce.
     *
     * @since 3.5.0
     *
     * @param int $time_slice Number with the current time slice.
     */
    return apply_filters( 'nonce_tick', ceil( time() / ( DAY_IN_SECONDS / 2 ) ) );
}

是不是感觉代码短小精悍？ 别被它的外表迷惑了， 里面乾坤可不少。

第一步：获取当前时间 time()

这部分很简单， time() 函数返回的是当前 Unix 时间戳，也就是从 1970 年 1 月 1 日 00:00:00 UTC 到现在的秒数。

第二步：计算时间片 DAY_IN_SECONDS / 2

这里出现了一个常量 DAY_IN_SECONDS。 让我们看看它的定义：

<?php
/**
 * Number of seconds in one day.
 *
 * @since 3.5.0
 */
define( 'DAY_IN_SECONDS', 24 * 60 * 60 );

很明显，DAY_IN_SECONDS 代表一天有多少秒，也就是 86400 秒。 DAY_IN_SECONDS / 2 就是将一天分成两份，也就是 12 个小时。 所以，这个时间片的大小是 12 小时。

第三步：时间戳除以时间片 time() / (DAY_IN_SECONDS / 2)

这步是关键，将当前时间戳 time() 除以时间片 (DAY_IN_SECONDS / 2)，得到一个数值。 这个数值代表了从 1970 年 1 月 1 日 00:00:00 UTC 开始，到现在经历了多少个 12 小时。

第四步：向上取整 ceil()

ceil() 函数的作用是向上取整。 为什么要向上取整呢？ 因为我们希望在同一个 12 小时内，wp_nonce_tick() 的返回值保持不变。 这样才能保证 Nonce 在这 12 小时内有效。

举个例子：

假设当前时间是 2024 年 10 月 27 日 10:00:00 UTC，time() 返回的时间戳是 1730052000。

那么，time() / (DAY_IN_SECONDS / 2) 就是 1730052000 / (86400 / 2) = 1730052000 / 43200 = 40047.47685...

经过 ceil() 向上取整后，就变成了 40048。

也就是说，从 1970 年 1 月 1 日 00:00:00 UTC 开始，到现在经历了 40048 个 12 小时。

第五步：应用过滤器 apply_filters( 'nonce_tick', ... )

最后，apply_filters() 函数允许我们通过 nonce_tick 这个过滤器来修改 wp_nonce_tick() 的返回值。 这为我们提供了很大的灵活性，可以根据实际需要调整 Nonce 的有效期。 当然，大多数情况下，我们不需要修改它。

总结一下 wp_nonce_tick() 的工作流程：

  1. 获取当前 Unix 时间戳。
  2. 计算时间片大小（12 小时）。
  3. 将时间戳除以时间片，得到一个数值。
  4. 对数值向上取整。
  5. 应用 nonce_tick 过滤器，允许修改返回值。

为什么要这么做？

这样做的好处是，可以保证 Nonce 在一个固定的时间段内有效，过了这个时间段，Nonce 就会失效。 这可以有效地防止 CSRF (Cross-Site Request Forgery) 攻击。

Nonce 的有效期

从上面的分析可以看出，Nonce 的默认有效期是 12 小时。 但是，我们可以通过 nonce_tick 过滤器来修改这个有效期。

例如，如果我们想将 Nonce 的有效期设置为 24 小时，可以这样写：

<?php
add_filter( 'nonce_tick', 'my_custom_nonce_tick' );

function my_custom_nonce_tick( $time_slice ) {
    return ceil( time() / DAY_IN_SECONDS ); // 一天的时间片
}

这段代码将时间片设置为 DAY_IN_SECONDS，也就是一天。 这样，Nonce 的有效期就变成了 24 小时。

wp_nonce_tick() 在 Nonce 生成和验证中的作用

wp_nonce_tick() 的返回值会参与到 Nonce 的生成和验证过程中。

  • 生成 Nonce： wp_create_nonce() 函数会使用 wp_nonce_tick() 的返回值来生成 Nonce。
  • 验证 Nonce： wp_verify_nonce() 函数会使用 wp_nonce_tick() 的返回值来验证 Nonce 是否有效。

如果 wp_nonce_tick() 的返回值在生成 Nonce 和验证 Nonce 时不一致，那么 wp_verify_nonce() 函数就会返回 false，表示 Nonce 无效。

一个简单的例子

咱们来写一个简单的例子，演示 wp_nonce_tick() 的作用：

<?php
// 生成 Nonce
$nonce = wp_create_nonce( 'my_action' );

// 获取当前的 nonce_tick
$current_tick = wp_nonce_tick();

echo "Nonce: " . $nonce . "<br>";
echo "Current Tick: " . $current_tick . "<br>";

// 模拟 13 小时后验证 Nonce
sleep(13 * 3600); // 休眠 13 小时

// 验证 Nonce
$result = wp_verify_nonce( $nonce, 'my_action' );

echo "Verification Result: " . ($result ? 'Valid' : 'Invalid') . "<br>";

// 获取验证时的  nonce_tick
$later_tick = wp_nonce_tick();
echo "Later Tick: " . $later_tick . "<br>";

运行这段代码，你会发现，在 13 小时后，wp_verify_nonce() 函数返回 false，表示 Nonce 无效。这是因为 wp_nonce_tick() 的返回值发生了变化，导致 Nonce 验证失败。

表格总结 wp_nonce_tick() 及其相关概念

概念 描述 相关函数/常量
wp_nonce_tick() 返回一个随时间变化的数值，作为 Nonce 有效期的依据。 time(), DAY_IN_SECONDS, ceil(), apply_filters( 'nonce_tick', ... )
时间片 Nonce 的有效期，默认是 12 小时。 DAY_IN_SECONDS, 可以通过 nonce_tick 过滤器修改。
Nonce 一种安全令牌，用于防止 CSRF 攻击。 wp_create_nonce(), wp_verify_nonce(), wp_nonce_field()
CSRF 跨站请求伪造，一种常见的网络攻击方式。 N/A
wp_create_nonce() 生成 Nonce 的函数，会调用 wp_nonce_tick() 获取时间戳。 wp_nonce_tick(), wp_hash()
wp_verify_nonce() 验证 Nonce 的函数，会调用 wp_nonce_tick() 获取当前时间戳，并与 Nonce 中包含的时间戳进行比较。 wp_nonce_tick(), wp_hash()
nonce_tick 过滤器 允许修改 wp_nonce_tick() 返回值的过滤器，可以用来调整 Nonce 的有效期。 add_filter(), apply_filters()

注意事项

  • 服务器时间同步： Nonce 的有效期依赖于服务器的时间。 如果服务器时间不准确，可能会导致 Nonce 过早或过晚失效。 因此，要确保服务器时间与网络时间同步。
  • 缓存： 如果你的网站使用了缓存，可能会导致 wp_nonce_tick() 的返回值被缓存，从而影响 Nonce 的有效期。 要确保缓存不会影响 wp_nonce_tick() 的返回值。 特别是在使用页面缓存时，需要注意排除包含 Nonce 的表单。
  • 安全性： Nonce 的生成和验证过程要足够安全，防止被破解。 WordPress 已经做了很多安全措施，但我们也要注意不要在代码中泄露 Nonce 的密钥。

总结

wp_nonce_tick() 函数虽然简单，但却是 WordPress Nonce 机制中不可或缺的一部分。 它通过生成一个随时间变化的数值，来保证 Nonce 的有效期，从而有效地防止 CSRF 攻击。 理解 wp_nonce_tick() 的工作原理，可以帮助我们更好地理解 WordPress 的安全机制，并编写更安全的代码。

希望今天的讲解对大家有所帮助！ 咱们下次再见！

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注