咳咳，各位观众老爷晚上好！今天咱们聊聊 WordPress 认证机制里一个至关重要的函数：wp_validate_auth_cookie()。这玩意儿就像 WordPress 的安全卫士，专门负责检查你浏览器里那个代表你身份的 Cookie 是不是合法、有效。如果它说“不行！”，那你可能就要被踢出登录状态了。
咱们今天就来扒一扒它的源码，看看它到底是怎么工作的，让大家以后也能对 WordPress 的安全机制有个更深入的了解。
1. Cookie 的秘密：WordPress 的身份令牌
首先，我们要明白，用户登录 WordPress 后，并不会一直拿着用户名和密码在那边验证。这样太累了，服务器也受不了。WordPress 会发给你一个 Cookie，里面存着一些加密过的信息，代表你的身份。以后你访问网站，浏览器会自动把这个 Cookie 发送给服务器，服务器通过验证 Cookie 的内容，就知道你是谁了，不用再问你密码了。
WordPress 默认会设置三个 Cookie 来管理用户的认证状态：
| Cookie 名称 | 作用 |
|---|---|
wordpress_[hash] |
存储用户名、过期时间、加密哈希值等信息，用于验证用户的登录状态。这里的 [hash] 是 WordPress 安装目录的 MD5 哈希值，用于区分不同的 WordPress 站点。 |
wordpress_logged_in_[hash] |
存储用户的登录状态、用户名等信息。这个 Cookie 主要用于判断用户是否已经登录，以及显示一些个性化的内容。 |
wp-settings-[UID] |
存储用户的个人设置，比如后台的界面颜色、字体大小等等。这里的 [UID] 是用户的 ID。 这个 Cookie 跟用户认证关系不大，但也是 WordPress Cookie 的一部分。 |
其中，wp_validate_auth_cookie() 主要就是验证 wordpress_[hash] 这个 Cookie 的有效性。
2. 进入源码的世界：wp_validate_auth_cookie() 的解剖
好了，废话不多说，直接上代码！（以下代码基于 WordPress 最新版本，可能会略有出入，但核心原理不变）
function wp_validate_auth_cookie( $cookie = '', $scheme = '' ) {
if ( ! $cookie ) {
return false;
}
$scheme = wp_unslash( $scheme );
$cookie = wp_unslash( $cookie );
$schemes = array( 'auth', 'secure_auth', 'logged_in' );
if ( ! in_array( $scheme, $schemes, true ) ) {
$scheme = 'auth';
}
$pass_frag = substr( wp_hash( get_site_url(), 'auth' ), -12, 12 );
$key = wp_cache_get( "auth_salt_$scheme", 'nonPersistent' );
if ( false === $key ) {
$key = wp_generate_auth_cookie_key( $scheme );
wp_cache_set( "auth_salt_$scheme", $key, 'nonPersistent', 30 * MINUTE_IN_SECONDS );
}
$cookie_elements = explode( '|', $cookie );
if ( count( $cookie_elements ) !== 4 ) {
return false;
}
list( $username, $expiration, $token, $hmac ) = $cookie_elements;
$username = sanitize_user( $username, 'username' );
if ( $expiration < time() ) {
return false;
}
/**
* Fires immediately before validating the auth cookie.
*
* @since 4.7.0
*
* @param string $cookie The authentication cookie.
* @param string $username The username from the cookie.
* @param int $expiration The cookie expiration timestamp.
* @param string $scheme The scheme to use. Possible values include
* 'auth', 'secure_auth', or 'logged_in'.
*/
do_action( 'auth_cookie_validation', $cookie, $username, $expiration, $scheme );
$user = get_user_by( 'login', $username );
if ( ! $user ) {
return false;
}
if ( ! wp_check_password_hash( $token, $user->user_activation_key ) ) {
return false;
}
$ip = $_SERVER['REMOTE_ADDR'];
$ua = $_SERVER['HTTP_USER_AGENT'];
$hash = hash_hmac( 'md5', $username . '|' . $expiration . '|' . $token . '|' . $ip . '|' . $ua . '|' . $scheme . '|' . $key, $pass_frag );
if ( hash_equals( $hash, $hmac ) ) {
return $user->ID;
}
/**
* Fires after the authentication cookie validation fails.
*
* @since 4.7.0
*
* @param string $cookie The authentication cookie.
* @param string $username The username from the cookie.
* @param int $expiration The cookie expiration timestamp.
* @param string $scheme The scheme to use. Possible values include
* 'auth', 'secure_auth', or 'logged_in'.
* @param WP_User|false $user WP_User object if a user was found, false if not.
*/
do_action( 'auth_cookie_failed_validation', $cookie, $username, $expiration, $scheme, $user );
return false;
}看起来有点长，别怕，咱们一步步分析。
2.1. 前期准备：检查和清理
if ( ! $cookie ) {
return false;
}
$scheme = wp_unslash( $scheme );
$cookie = wp_unslash( $cookie );
$schemes = array( 'auth', 'secure_auth', 'logged_in' );
if ( ! in_array( $scheme, $schemes, true ) ) {
$scheme = 'auth';
}if ( ! $cookie ) { return false; }: 首先，函数检查你有没有传入 Cookie。没有 Cookie，那还验证个啥？直接返回false，表示验证失败。$scheme = wp_unslash( $scheme );和$cookie = wp_unslash( $cookie );:wp_unslash()函数的作用是移除字符串中的反斜杠。有时候 Cookie 的值可能包含反斜杠，为了避免出现问题，先清理一下。$schemes = array( 'auth', 'secure_auth', 'logged_in' );和if ( ! in_array( $scheme, $schemes, true ) ) { $scheme = 'auth'; }:$scheme参数表示 Cookie 的类型，可以是'auth'(普通认证)、'secure_auth'(HTTPS 认证) 或'logged_in'(登录状态认证)。如果传入的$scheme不在这几个类型里，就默认设置为'auth'。
2.2. 密钥的获取：auth_salt 的秘密
$pass_frag = substr( wp_hash( get_site_url(), 'auth' ), -12, 12 );
$key = wp_cache_get( "auth_salt_$scheme", 'nonPersistent' );
if ( false === $key ) {
$key = wp_generate_auth_cookie_key( $scheme );
wp_cache_set( "auth_salt_$scheme", $key, 'nonPersistent', 30 * MINUTE_IN_SECONDS );
}$pass_frag = substr( wp_hash( get_site_url(), 'auth' ), -12, 12 );: 这个$pass_frag是一个重要的“密码片段”，用于生成 HMAC（Hash-based Message Authentication Code）。它基于站点 URL 的哈希值，取最后 12 个字符。 相当于一个动态的盐值(salt)。$key = wp_cache_get( "auth_salt_$scheme", 'nonPersistent' );: 这里尝试从缓存中获取一个叫做auth_salt_$scheme的值。这个值是一个密钥，用于生成 HMAC。if ( false === $key ) { ... }: 如果缓存中没有找到密钥，就调用wp_generate_auth_cookie_key()函数生成一个新的密钥，并把它存入缓存，有效期 30 分钟。wp_generate_auth_cookie_key()函数的实现这里就不展开了，它会根据$scheme生成一个随机的字符串。
为什么要用缓存呢？因为生成密钥是一个比较耗时的操作，为了提高性能，WordPress 会把密钥缓存起来，下次直接从缓存中获取。
2.3. Cookie 的拆解：分割字符串
$cookie_elements = explode( '|', $cookie );
if ( count( $cookie_elements ) !== 4 ) {
return false;
}
list( $username, $expiration, $token, $hmac ) = $cookie_elements;$cookie_elements = explode( '|', $cookie );: 这里用|字符把 Cookie 的值分割成一个数组。WordPress 的 Cookie 格式是username|expiration|token|hmac，用|分隔各个部分。if ( count( $cookie_elements ) !== 4 ) { return false; }: 如果分割后的数组元素个数不是 4 个，说明 Cookie 的格式不正确，直接返回false。list( $username, $expiration, $token, $hmac ) = $cookie_elements;: 把数组中的元素分别赋值给$username(用户名),$expiration(过期时间),$token(令牌), 和$hmac(HMAC 值) 变量。
2.4. 验证用户名和过期时间
$username = sanitize_user( $username, 'username' );
if ( $expiration < time() ) {
return false;
}$username = sanitize_user( $username, 'username' );: 使用sanitize_user()函数对用户名进行清理，防止 XSS 攻击。if ( $expiration < time() ) { return false; }: 检查 Cookie 的过期时间是否已经过期。如果过期了，说明 Cookie 已经失效，返回false。
2.5. 钩子：auth_cookie_validation
/**
* Fires immediately before validating the auth cookie.
*
* @since 4.7.0
*
* @param string $cookie The authentication cookie.
* @param string $username The username from the cookie.
* @param int $expiration The cookie expiration timestamp.
* @param string $scheme The scheme to use. Possible values include
* 'auth', 'secure_auth', or 'logged_in'.
*/
do_action( 'auth_cookie_validation', $cookie, $username, $expiration, $scheme );这是一个钩子 (Hook)，允许开发者在验证 Cookie 之前执行一些自定义的操作。你可以通过 add_action() 函数来添加自己的函数，在 Cookie 验证之前做一些事情，比如记录日志、修改 Cookie 的值等等。
2.6. 用户信息和令牌的验证
$user = get_user_by( 'login', $username );
if ( ! $user ) {
return false;
}
if ( ! wp_check_password_hash( $token, $user->user_activation_key ) ) {
return false;
}$user = get_user_by( 'login', $username );: 根据用户名从数据库中获取用户信息。if ( ! $user ) { return false; }: 如果找不到对应的用户，说明用户名不正确，返回false。if ( ! wp_check_password_hash( $token, $user->user_activation_key ) ) { return false; }: 这里验证$token的有效性。$token实际上是用户激活密钥 (user_activation_key) 的哈希值。wp_check_password_hash()函数会比较$token和$user->user_activation_key的哈希值是否一致。 如果不一致，说明$token不正确，返回false。
2.7. HMAC 的终极验证
$ip = $_SERVER['REMOTE_ADDR'];
$ua = $_SERVER['HTTP_USER_AGENT'];
$hash = hash_hmac( 'md5', $username . '|' . $expiration . '|' . $token . '|' . $ip . '|' . $ua . '|' . $scheme . '|' . $key, $pass_frag );
if ( hash_equals( $hash, $hmac ) ) {
return $user->ID;
}$ip = $_SERVER['REMOTE_ADDR'];和$ua = $_SERVER['HTTP_USER_AGENT'];: 获取用户的 IP 地址和 User-Agent 信息。$hash = hash_hmac( 'md5', $username . '|' . $expiration . '|' . $token . '|' . $ip . '|' . $ua . '|' . $scheme . '|' . $key, $pass_frag );: 这是最关键的一步！ 使用hash_hmac()函数生成一个 HMAC 值。 HMAC 的算法是 MD5，数据是$username . '|' . $expiration . '|' . $token . '|' . $ip . '|' . $ua . '|' . $scheme . '|' . $key，密钥是$pass_frag。- 什么是 HMAC？ HMAC 是一种消息认证码算法，它使用一个密钥对消息进行加密，生成一个哈希值。这个哈希值可以用来验证消息的完整性和真实性。 简单来说，就是把一些关键信息（用户名、过期时间、令牌、IP 地址、User-Agent 等）用一个密钥加密起来，生成一个“指纹”。
- 为什么要加入 IP 地址和 User-Agent？ 为了防止 Cookie 被盗用。如果 Cookie 被盗，攻击者可以使用这个 Cookie 登录你的账户。但是，如果攻击者的 IP 地址和 User-Agent 与你的不同，那么生成的 HMAC 值也会不同，验证就会失败。
if ( hash_equals( $hash, $hmac ) ) { return $user->ID; }: 使用hash_equals()函数比较生成的 HMAC 值$hash和 Cookie 中存储的 HMAC 值$hmac是否相等。hash_equals()函数可以防止时序攻击，提高安全性。 如果相等，说明 Cookie 是有效的，返回用户的 ID。
2.8. 钩子：auth_cookie_failed_validation
/**
* Fires after the authentication cookie validation fails.
*
* @since 4.7.0
*
* @param string $cookie The authentication cookie.
* @param string $username The username from the cookie.
* @param int $expiration The cookie expiration timestamp.
* @param string $scheme The scheme to use. Possible values include
* 'auth', 'secure_auth', or 'logged_in'.
* @param WP_User|false $user WP_User object if a user was found, false if not.
*/
do_action( 'auth_cookie_failed_validation', $cookie, $username, $expiration, $scheme, $user );
return false;这是另一个钩子，允许开发者在 Cookie 验证失败后执行一些自定义的操作。你可以通过 add_action() 函数来添加自己的函数，在 Cookie 验证失败后做一些事情，比如记录错误日志、强制用户退出登录等等。
3. 总结：wp_validate_auth_cookie() 的工作流程
总的来说，wp_validate_auth_cookie() 函数的工作流程可以总结为以下几步：
- 检查 Cookie 是否存在。
- 清理 Cookie 和 Scheme。
- 获取密钥
auth_salt。 - 分割 Cookie 字符串，获取用户名、过期时间、令牌和 HMAC 值。
- 验证用户名和过期时间。
- 触发
auth_cookie_validation钩子。 - 根据用户名获取用户信息。
- 验证令牌 (user_activation_key)。
- 生成 HMAC 值，并与 Cookie 中的 HMAC 值进行比较。
- 如果验证成功，返回用户 ID；否则，触发
auth_cookie_failed_validation钩子，并返回false。
可以用一个流程图来更清晰地表示：
graph TD
A[开始] --> B{Cookie 是否存在？};
B -- 是 --> C{清理 Cookie 和 Scheme};
B -- 否 --> X[返回 false];
C --> D{获取密钥 auth_salt};
D --> E{分割 Cookie 字符串};
E --> F{验证用户名和过期时间};
F -- 通过 --> G{触发 auth_cookie_validation 钩子};
F -- 失败 --> X;
G --> H{获取用户信息};
H -- 找到用户 --> I{验证令牌};
H -- 未找到用户 --> X;
I -- 通过 --> J{生成 HMAC 值};
I -- 失败 --> X;
J --> K{HMAC 值是否匹配？};
K -- 是 --> L[返回用户 ID];
K -- 否 --> M{触发 auth_cookie_failed_validation 钩子};
M --> X;
X[返回 false];
L --> Z[结束];4. 安全性考量：这个卫士真的靠谱吗？
wp_validate_auth_cookie() 函数的设计考虑了多种安全因素，比如：
- 使用 HMAC 验证 Cookie 的完整性和真实性。
- 加入 IP 地址和 User-Agent，防止 Cookie 被盗用。
- 使用
hash_equals()函数防止时序攻击。 - 使用
sanitize_user()函数防止 XSS 攻击。 - 使用钩子，允许开发者自定义验证逻辑。
但是，没有任何安全措施是绝对完美的。 攻击者可能会通过各种手段绕过这些安全措施，比如：
- Cookie 劫持： 攻击者通过 XSS 攻击、中间人攻击等手段获取用户的 Cookie。
- Session Fixation： 攻击者诱骗用户使用一个已经被攻击者控制的 Session ID。
- IP 地址欺骗： 攻击者伪造 IP 地址。
- User-Agent 欺骗： 攻击者伪造 User-Agent 信息。
因此，除了 wp_validate_auth_cookie() 函数之外，还需要采取其他安全措施来保护 WordPress 网站的安全，比如：
- 使用 HTTPS 协议，防止 Cookie 被窃听。
- 定期更新 WordPress 和插件，修复安全漏洞。
- 使用强密码，并定期更改密码。
- 安装安全插件，增强网站的安全性。
- 限制登录尝试次数，防止暴力破解。
5. 总结的总结：深入理解才能更好地保护
好了，今天的讲座就到这里。希望通过今天的讲解，大家对 wp_validate_auth_cookie() 函数有了更深入的了解。 记住，安全无小事，只有深入理解 WordPress 的安全机制，才能更好地保护自己的网站。
感谢大家的收听！下次再见！