欢迎来到 Nonce 的奇妙世界！我是今天的导游，带你深入 wp_verify_nonce() 的内核！
各位观众，晚上好！今天咱们来聊聊 WordPress 安全机制中一个非常重要的角色：Nonce（Number used once）。别被这名字吓到，其实它一点也不可怕，甚至还有点可爱！咱们今天要解剖的就是 wp_verify_nonce() 函数，看看它如何像侦探一样，通过对比 Nonce 的生成过程，来验证它的真伪。
准备好了吗？ 咱们开始吧！
1. Nonce 是什么？为什么要用它？
想象一下，你正在一家咖啡馆，你想用优惠券买咖啡。但问题是，优惠券很容易被伪造或者被多次使用。这时候，咖啡馆老板会怎么做呢？ 他可能会在优惠券上盖一个独一无二的章，每次使用后就作废。
Nonce 的作用就类似于这个“独一无二的章”。它是一个一次性使用的随机字符串，用于防止 CSRF（Cross-Site Request Forgery，跨站请求伪造）攻击。
CSRF 攻击就像有人冒充你，向咖啡馆老板出示一张伪造的优惠券。如果没有 Nonce 这样的安全机制，攻击者就可以伪造你的请求，例如修改你的密码，或者以你的名义发布文章。
Nonce 通过在请求中加入一个只有服务器知道的秘密，让攻击者难以伪造请求。
2. wp_verify_nonce() 的使命：验证 Nonce 的有效性
wp_verify_nonce() 函数是 Nonce 验证的核心。它的使命是：
- 接收客户端提交的 Nonce 值。
- 重新计算 Nonce 值。
- 比较客户端提交的 Nonce 值和重新计算的 Nonce 值。
- 如果两者一致，则验证通过；否则，验证失败。
听起来很简单，对吧？ 但魔鬼就藏在细节里！让我们深入 wp_verify_nonce() 的源码，一探究竟。
3. 源码剖析：wp_verify_nonce() 的内部运作
虽然 WordPress 的源码会随着版本更新而变化，但 wp_verify_nonce() 的核心逻辑基本保持不变。 为了方便理解，我们抽取一个简化后的版本进行分析：
function wp_verify_nonce( $nonce, $action = -1 ) {
$uid = get_current_user_id();
$token = wp_get_session_token();
$i = wp_nonce_tick();
// Hash the token/key.
$hash = hash( 'sha512', $i . '|' . $action . '|' . $uid . '|' . $token );
$expected = substr( $hash, -12, 10 );
if ( hash_equals( $expected, $nonce ) ) {
return 1;
}
$i = wp_nonce_tick() - 1;
// Hash the token/key.
$hash = hash( 'sha512', $i . '|' . $action . '|' . $uid . '|' . $token );
$expected = substr( $hash, -12, 10 );
if ( hash_equals( $expected, $nonce ) ) {
return 2;
}
return false;
}哇哦，看起来有点复杂，别怕！ 我们一行一行地拆解它：
-
$uid = get_current_user_id();: 获取当前用户的 ID。 如果用户未登录，则$uid为 0。 -
$token = wp_get_session_token();: 获取用户的会话令牌。 这个令牌是一个随机字符串，用于标识用户的会话。 -
$i = wp_nonce_tick();: 这是个关键函数，用于生成一个时间戳（或者说是一个“时间片”）。它的作用是让 Nonce 在一段时间后过期。 我们稍后会详细讲解wp_nonce_tick()。 -
$hash = hash( 'sha512', $i . '|' . $action . '|' . $uid . '|' . $token );: 这行代码使用 SHA512 算法，将$i(时间片)，$action(动作名称)，$uid(用户ID) 和$token(会话令牌) 组合起来进行哈希。$action参数允许你为不同的操作创建不同的 Nonce，增加安全性。 -
$expected = substr( $hash, -12, 10 );: 从哈希值的末尾截取 10 个字符，作为预期的 Nonce 值。 为什么要截取一部分而不是使用整个哈希值呢？ 这是为了缩短 Nonce 的长度，方便在 URL 中传递。 -
if ( hash_equals( $expected, $nonce ) ) { return 1; }: 使用hash_equals()函数比较客户端提交的$nonce和服务器端重新计算的$expected。hash_equals()是一个安全的字符串比较函数，可以防止时序攻击。 如果两者一致，则验证通过，函数返回 1。 -
$i = wp_nonce_tick() - 1;: 如果第一次验证失败，则将时间片减 1，再次计算 Nonce 值。 这么做的目的是为了允许 Nonce 在时间片切换时仍然有效。 假设 Nonce 是在时间片末尾生成的，而验证发生在下一个时间片开始时，那么第一次验证就会失败。 通过将时间片减 1，可以解决这个问题。 -
if ( hash_equals( $expected, $nonce ) ) { return 2; }: 再次比较 Nonce 值，如果一致，则返回 2。 -
return false;: 如果两次验证都失败，则验证失败，函数返回false。
总结一下：
wp_verify_nonce() 函数通过以下步骤验证 Nonce 的有效性：
- 收集必要的信息：用户 ID，会话令牌，动作名称和当前时间片。
- 使用这些信息重新计算 Nonce 值。
- 将重新计算的 Nonce 值与客户端提交的 Nonce 值进行比较。
- 如果两者一致，则验证通过；否则，验证失败。
4. wp_nonce_tick()：时间片是如何工作的？
现在，让我们来深入了解 wp_nonce_tick() 函数。这个函数是 Nonce 过期机制的核心。
function wp_nonce_tick() {
/**
* Filters the lifespan of nonces.
*
* @since 4.5.0
*
* @param int $lifespan Nonce lifespan in seconds. Default 12 hours.
*/
$nonce_life = apply_filters( 'nonce_life', DAY_IN_SECONDS / 2 );
return ceil( time() / ( $nonce_life ) );
}这段代码看似简单，却蕴含着精妙的设计：
-
$nonce_life = apply_filters( 'nonce_life', DAY_IN_SECONDS / 2 );: 这行代码定义了 Nonce 的有效期。 默认情况下，Nonce 的有效期为半天（12 小时）。 你可以使用nonce_life过滤器来修改 Nonce 的有效期。 -
return ceil( time() / ( $nonce_life ) );: 这行代码计算当前时间所属的时间片。 它将当前时间戳除以 Nonce 的有效期，然后向上取整。 这样，每个时间片都对应一个唯一的整数。
举个例子：
假设当前时间戳为 1678886400，Nonce 的有效期为 43200 秒（12 小时）。
那么，wp_nonce_tick() 的计算结果为：
ceil( 1678886400 / 43200 ) = ceil( 38.86 ) = 39
这意味着当前时间属于第 39 个时间片。
时间片的作用：
时间片的作用是让 Nonce 在一段时间后自动过期。 当时间片发生变化时，重新计算的 Nonce 值也会发生变化，从而使旧的 Nonce 失效。
这种机制可以有效地防止 CSRF 攻击。 即使攻击者窃取了你的 Nonce，他也只能在 Nonce 有效期内使用它。 一旦 Nonce 过期，攻击者就无法再伪造你的请求。
5. 实际应用：如何在 WordPress 中使用 Nonce？
现在我们已经了解了 wp_verify_nonce() 的原理，让我们来看看如何在实际开发中使用 Nonce。
WordPress 提供了两个函数来简化 Nonce 的使用：
-
wp_nonce_field( $action, $name ): 这个函数用于生成一个包含 Nonce 值的隐藏表单字段。 -
wp_nonce_url( $action, $name, $url ): 这个函数用于在 URL 中添加 Nonce 参数。
示例 1：在表单中使用 Nonce
<form action="process_form.php" method="post">
<?php wp_nonce_field( 'my_form_action', 'my_form_nonce' ); ?>
<input type="text" name="my_field">
<input type="submit" value="提交">
</form>在这个例子中，wp_nonce_field() 函数会生成一个类似于这样的隐藏表单字段：
<input type="hidden" id="my_form_nonce" name="my_form_nonce" value="xxxxxxxxxx">其中，xxxxxxxxxx 就是生成的 Nonce 值。
在 process_form.php 文件中，你可以使用 wp_verify_nonce() 函数来验证 Nonce 的有效性：
if ( ! isset( $_POST['my_form_nonce'] ) || ! wp_verify_nonce( $_POST['my_form_nonce'], 'my_form_action' ) ) {
wp_die( '安全检查失败！' );
}
// 处理表单数据示例 2：在 URL 中使用 Nonce
<a href="<?php echo wp_nonce_url( 'delete_post.php?post_id=123', 'delete_post' ); ?>">删除文章</a>在这个例子中，wp_nonce_url() 函数会生成一个类似于这样的 URL：
delete_post.php?post_id=123&_wpnonce=xxxxxxxxxx其中，_wpnonce=xxxxxxxxxx 就是添加的 Nonce 参数。
在 delete_post.php 文件中，你可以使用 wp_verify_nonce() 函数来验证 Nonce 的有效性：
if ( ! isset( $_GET['_wpnonce'] ) || ! wp_verify_nonce( $_GET['_wpnonce'], 'delete_post' ) ) {
wp_die( '安全检查失败！' );
}
// 删除文章6. 安全注意事项：Nonce 使用的最佳实践
虽然 Nonce 可以有效地防止 CSRF 攻击，但如果不正确使用，仍然可能存在安全风险。 以下是一些 Nonce 使用的最佳实践：
-
为不同的操作使用不同的 Action Name: 使用
$action参数为不同的操作创建不同的 Nonce。 这样可以防止攻击者将一个 Nonce 用于多个操作。 -
Nonce 应该与用户会话绑定: 确保 Nonce 与用户的会话绑定。 这样可以防止攻击者窃取其他用户的 Nonce。
wp_verify_nonce()函数已经包含了这个机制，因为它使用了用户的 Session Token。 -
Nonce 应该在服务器端生成和验证: 不要在客户端生成 Nonce，因为这会使 Nonce 容易被攻击者操纵。
-
Nonce 应该足够随机: 使用强大的随机数生成器来生成 Nonce。 WordPress 使用
wp_get_session_token()函数来生成随机的 Session Token，这已经足够安全。 -
Nonce 应该有合理的有效期: Nonce 的有效期应该足够短，以防止攻击者利用窃取的 Nonce。 但是，Nonce 的有效期也不能太短，否则可能会导致用户体验不佳。 默认的 12 小时有效期通常是一个不错的选择。
-
始终使用
hash_equals()进行字符串比较: 不要使用==或===运算符来比较 Nonce 值。 这些运算符容易受到时序攻击。 始终使用hash_equals()函数进行字符串比较。
7. 总结：Nonce 是 WordPress 安全的重要组成部分
Nonce 是 WordPress 安全的重要组成部分。 它可以有效地防止 CSRF 攻击，保护你的网站免受恶意攻击。
wp_verify_nonce() 函数是 Nonce 验证的核心。 它通过比较客户端提交的 Nonce 值和服务器端重新计算的 Nonce 值，来验证 Nonce 的有效性。
通过理解 wp_verify_nonce() 函数的原理，你可以更好地保护你的 WordPress 网站的安全。
希望今天的讲座能帮助你更好地理解 Nonce 的工作原理。记住，安全无小事！ 持续学习，不断提升你的安全技能！
感谢大家的参与！ 晚安！