深入理解 `wp_set_auth_cookie()` 函数的源码，它是如何设置用户认证 `Cookie` 的？ - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

同学们，早上好！今天咱们来聊聊 WordPress 身份认证的基石之一： wp_set_auth_cookie() 函数。这家伙看似简单，实际上背后藏着不少秘密。别怕，我会把它扒得干干净净，保证你们听完之后，下次再看到 wp_set_auth_cookie()，就像看到老朋友一样亲切。

一、身份认证：进门前的通行证

在深入代码之前，我们先搞清楚一个概念：什么是身份认证？想象一下，WordPress 网站就是个高级俱乐部，只有会员才能享受里面的资源，比如发文章、改设置等等。身份认证，就是验证“你是不是会员”的过程，而 Cookie，就是你的会员卡，证明你已经通过了验证。

二、 wp_set_auth_cookie()：发卡的机器

wp_set_auth_cookie() 函数，就是 WordPress 这家俱乐部里的“发卡机”，它负责给你颁发会员卡（也就是认证 Cookie）。让我们看看它的庐山真面目（简化版）：

function wp_set_auth_cookie( $user_id, $remember = false, $secure = '' ) {
    $expiration = time() + DAY_IN_SECONDS;  // 默认有效期一天

    if ( $remember ) {
        $expiration = time() + ( ( $remember == true ) ? YEAR_IN_SECONDS : $remember ); // 如果记住我，有效期一年
    }

    $secure_cookie = is_ssl(); // 是否使用 HTTPS

    if ( ! headers_sent() ) {
        setcookie( AUTH_COOKIE, wp_generate_auth_cookie( $user_id, 'auth', $expiration, $secure_cookie ), $expiration, COOKIEPATH, COOKIE_DOMAIN, $secure_cookie, true );

        if ( $remember ) {
            setcookie( SECURE_AUTH_COOKIE, wp_generate_auth_cookie( $user_id, 'secure_auth', $expiration, $secure_cookie ), $expiration, COOKIEPATH, COOKIE_DOMAIN, $secure_cookie, true );
            setcookie( LOGGED_IN_COOKIE, wp_generate_auth_cookie( $user_id, 'logged_in', $expiration, $secure_cookie ), $expiration, COOKIEPATH, COOKIE_DOMAIN, $secure_cookie, true );
        } else {
            setcookie( SECURE_AUTH_COOKIE, wp_generate_auth_cookie( $user_id, 'secure_auth', 0, $secure_cookie ), time() - YEAR_IN_SECONDS, COOKIEPATH, COOKIE_DOMAIN, $secure_cookie, true );
            setcookie( LOGGED_IN_COOKIE, wp_generate_auth_cookie( $user_id, 'logged_in', 0, $secure_cookie ), time() - YEAR_IN_SECONDS, COOKIEPATH, COOKIE_DOMAIN, $secure_cookie, true );
        }
    }

    wp_set_current_user( $user_id );
}

是不是感觉有点眼花缭乱？别急，我们一步一步来拆解它。

三、参数解读：告诉发卡机你要什么卡

$user_id: 你的用户 ID，这是你在这个俱乐部里的唯一身份标识。
$remember: 一个布尔值，表示是否“记住我”。如果是 true，你的会员卡有效期会更长（默认一年）。
$secure: 强制使用HTTPS。已经废弃，现在由is_ssl()判断。

四、 Cookie 的有效期：会员卡的有效期

$expiration = time() + DAY_IN_SECONDS;  // 默认有效期一天

if ( $remember ) {
    $expiration = time() + ( ( $remember == true ) ? YEAR_IN_SECONDS : $remember ); // 如果记住我，有效期一年
}

这段代码决定了 Cookie 的有效期。默认情况下，Cookie 的有效期是 1 天。如果你选择了“记住我”，有效期会延长到 1 年。

五、 is_ssl()：安全通道

$secure_cookie = is_ssl(); // 是否使用 HTTPS

is_ssl() 函数用来判断当前连接是否使用了 HTTPS。如果使用了 HTTPS，$secure_cookie 的值就是 true，这意味着 Cookie 只能通过 HTTPS 连接传输，更加安全。

六、 setcookie()：真正发卡

setcookie() 函数是 PHP 内置的函数，用来设置 Cookie。 wp_set_auth_cookie() 函数里调用了好几次 setcookie()，设置了不同的 Cookie。我们来看看 setcookie() 函数的参数：

setcookie( $name, $value, $expire, $path, $domain, $secure, $httponly );

参数	含义
`$name`	`Cookie` 的名称，比如 `AUTH_COOKIE`、`SECURE_AUTH_COOKIE`、`LOGGED_IN_COOKIE`。这些常量在 `wp-config.php` 文件中定义，用来防止 `Cookie` 名称冲突。
`$value`	`Cookie` 的值，通常是一个经过加密的字符串，由 `wp_generate_auth_cookie()` 函数生成。
`$expire`	`Cookie` 的过期时间，是一个 Unix 时间戳。
`$path`	`Cookie` 的有效路径，通常是 `/`，表示 `Cookie` 对整个网站都有效。
`$domain`	`Cookie` 的有效域名，通常是网站的域名。
`$secure`	一个布尔值，表示 `Cookie` 是否只能通过 HTTPS 连接传输。
`$httponly`	一个布尔值，如果为 `true`，`Cookie` 只能通过 HTTP 协议访问，不能通过 JavaScript 访问，可以防止 XSS 攻击。

七、 wp_generate_auth_cookie()： Cookie 内容的制造者

wp_generate_auth_cookie() 函数负责生成 Cookie 的值。让我们来看看它的简化版：

function wp_generate_auth_cookie( $user_id, $scheme = 'auth', $expiration = 0, $token = '' ) {
    $pass_frag = substr( wp_hash( get_user( $user_id )->user_pass, 'password' ), 8, 4 );

    $key = wp_hash( $user_id . '|' . $pass_frag . '|' . $expiration . '|' . $scheme . '|' . $token, $scheme . '_auth' );

    $hash = hash_hmac( 'md5', $user_id . '|' . $expiration . '|' . $scheme . '|' . $token, $key );

    $cookie = $user_id . '|' . $expiration . '|' . $hash;

    return $cookie;
}

这段代码做了以下几件事情：

获取用户密码的一部分：
```
$pass_frag = substr( wp_hash( get_user( $user_id )->user_pass, 'password' ), 8, 4 );
```
这里获取用户密码的哈希值，并截取其中的一部分（4个字符），作为密码片段。这样做是为了防止 Cookie 被盗用，即使 Cookie 被盗，攻击者也无法直接获取用户的密码。
生成密钥：
```
$key = wp_hash( $user_id . '|' . $pass_frag . '|' . $expiration . '|' . $scheme . '|' . $token, $scheme . '_auth' );
```
这里使用用户 ID、密码片段、过期时间、认证方案（auth、secure_auth、logged_in）和令牌（如果有）生成一个密钥。这个密钥用于生成 Cookie 的哈希值。
生成哈希值：
```
$hash = hash_hmac( 'md5', $user_id . '|' . $expiration . '|' . $scheme . '|' . $token, $key );
```
这里使用 HMAC-MD5 算法生成一个哈希值。 HMAC-MD5 是一种消息认证码算法，可以防止 Cookie 被篡改。
拼接 Cookie 值：
```
$cookie = $user_id . '|' . $expiration . '|' . $hash;
```
最后，将用户 ID、过期时间和哈希值拼接起来，作为 Cookie 的值。

八、不同的 Cookie：各司其职

wp_set_auth_cookie() 函数设置了三种不同的 Cookie：

AUTH_COOKIE: 普通的认证 Cookie，用于非 HTTPS 连接。
SECURE_AUTH_COOKIE: 安全的认证 Cookie，只能通过 HTTPS 连接传输。
LOGGED_IN_COOKIE: 用于“记住我”功能的 Cookie。

这三种 Cookie 各司其职，保证了身份认证的安全性和灵活性。

九、 wp_set_current_user()：告诉 WordPress 你是谁

wp_set_current_user( $user_id );

最后，wp_set_current_user() 函数告诉 WordPress 当前登录的用户是谁。这个函数会将用户的信息加载到全局变量 $current_user 中，方便后续的程序使用。

十、总结： wp_set_auth_cookie() 的工作流程

为了方便大家理解，我把 wp_set_auth_cookie() 的工作流程总结成一个表格：

步骤	描述
1. 确定 Cookie 的有效期	根据 `$remember` 参数，确定 `Cookie` 的有效期。如果选择了“记住我”，有效期会更长。
2. 判断是否使用 HTTPS	使用 `is_ssl()` 函数判断当前连接是否使用了 HTTPS。
3. 生成 Cookie 的值	使用 `wp_generate_auth_cookie()` 函数生成 `Cookie` 的值，包括用户 ID、过期时间和哈希值。
4. 设置 Cookie	使用 `setcookie()` 函数设置 `AUTH_COOKIE`、`SECURE_AUTH_COOKIE` 和 `LOGGED_IN_COOKIE`。 `AUTH_COOKIE`用于普通连接，`SECURE_AUTH_COOKIE`用于HTTPS连接，`LOGGED_IN_COOKIE`用于记住我功能。如果选择了“记住我”，还会设置 `LOGGED_IN_COOKIE`。
5. 设置当前用户	使用 `wp_set_current_user()` 函数告诉 WordPress 当前登录的用户是谁。

十一、举个栗子：登录过程

假设用户 Tom 使用用户名 tom 和密码 password 登录了 WordPress 网站，并且选择了“记住我”。登录成功后，WordPress 会调用 wp_set_auth_cookie() 函数来设置 Cookie：

wp_set_auth_cookie( $user->ID, true );

这里的 $user->ID 是 Tom 的用户 ID，true 表示选择了“记住我”。 wp_set_auth_cookie() 函数会生成 AUTH_COOKIE、SECURE_AUTH_COOKIE 和 LOGGED_IN_COOKIE，并将它们发送到 Tom 的浏览器。这样，Tom 在下次访问 WordPress 网站时，浏览器会自动发送这些 Cookie，WordPress 就可以自动登录 Tom，而不需要再次输入用户名和密码。

十二、安全性考量：别让小偷有机可乘

虽然 wp_set_auth_cookie() 函数已经做了一些安全措施，但是我们仍然需要注意一些安全性问题：

HTTPS： 务必使用 HTTPS 连接，防止 Cookie 被窃听。
密钥： 定期更换 wp-config.php 文件中的密钥，防止 Cookie 被破解。
XSS： 防止 XSS 攻击，避免恶意脚本窃取 Cookie。
CSRF： 防止 CSRF 攻击，避免攻击者冒充用户执行操作。

十三、总结：掌握发卡机的秘密

今天我们深入分析了 wp_set_auth_cookie() 函数的源码，了解了它是如何设置用户认证 Cookie 的。掌握了这些知识，你就能更好地理解 WordPress 的身份认证机制，也能更好地保护你的网站安全。

希望今天的讲座对大家有所帮助！下课！

发表回复 取消回复

发表回复取消回复