探究 WordPress `WP_REST_Server` 类的源码：它如何通过 `_check_authentication()` 方法验证请求。 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

咳咳，麦克风测试，1，2，1，2… 大家好，欢迎来到今天的WordPress源码探秘小课堂！今天我们要深挖的，是WordPress REST API的心脏——WP_REST_Server 类，以及它那神秘的身份验证守门员——_check_authentication() 方法。

废话不多说，咱们直接上代码，开始我们的源码之旅！

一、WP_REST_Server 类：REST API 的司令部

首先，我们要搞清楚 WP_REST_Server 类是干嘛的。简单来说，它就是WordPress REST API的司令部，负责接收HTTP请求，路由请求到对应的处理函数，然后将处理结果打包成JSON格式返回给客户端。

这个类位于 wp-includes/rest-api/class-wp-rest-server.php 文件中。你可以用你喜欢的编辑器打开它，准备好迎接一大波代码。

二、_check_authentication() 方法：谁能进来？

_check_authentication() 方法是 WP_REST_Server 类中一个非常重要的私有方法。它的主要职责是验证客户端发送的请求是否合法，说白了，就是判断“你是谁？你有没有权限访问这个接口？”。

这个方法会在请求被路由到具体的处理函数之前被调用，确保只有通过身份验证的请求才能被执行。就像一个尽职尽责的保安，严格把控着REST API的大门。

三、_check_authentication() 方法的源码剖析

现在，我们来仔细看看 _check_authentication() 方法的源码（以下代码基于WordPress 6.x版本，不同版本可能会略有差异）：

    /**
     * Check that the current request has a valid authentication method.
     *
     * @since 4.4.0
     *
     * @return WP_Error|true True if the user is authenticated, WP_Error otherwise.
     */
    protected function _check_authentication() {
        /**
         * Filters whether to short-circuit authentication for the REST API request.
         *
         * Returning a non-null value from the filter will short-circuit the
         * authentication process, returning that value instead.
         *
         * @since 4.4.0
         *
         * @param mixed $result Whether to short-circuit authentication. Default null.
         */
        $result = apply_filters( 'rest_authentication_errors', null );

        if ( ! is_null( $result ) ) {
            return $result;
        }

        if ( ! is_user_logged_in() ) {
            /**
             * Fires when a REST API request is received and the user is not logged in.
             *
             * @since 4.4.0
             *
             * @param WP_REST_Server $this Server instance.
             */
            do_action( 'rest_api_non_logged_in', $this );

            // Allow basic authentication if enabled and the user didn't already authenticate.
            if ( $this->is_basic_auth_enabled() ) {
                $basic_auth_result = $this->check_basic_authentication();
                if ( is_wp_error( $basic_auth_result ) ) {
                    return $basic_auth_result;
                }

                if ( true === $basic_auth_result ) {
                    return true;
                }
            }

            return new WP_Error( 'rest_not_logged_in', __( 'You are not currently logged in.' ), array( 'status' => 401 ) );
        }

        return true;
    }

看起来有点复杂，没关系，我们一步步分解：

apply_filters( 'rest_authentication_errors', null )：

这是WordPress钩子机制的体现。它允许开发者通过 rest_authentication_errors 过滤器来提前终止身份验证过程，并返回自定义的结果。比如，你可以自定义一个插件，如果检测到特定的IP地址，就直接允许访问，而不需要进行其他验证。这就像给VIP客户开个后门，让他们畅通无阻。
```
add_filter( 'rest_authentication_errors', 'my_custom_authentication' );

function my_custom_authentication( $result ) {
    if ( $_SERVER['REMOTE_ADDR'] == '127.0.0.1' ) {
        return true; // 允许来自本地的请求
    }
    return $result;
}
```
is_user_logged_in()：

这是一个内置的WordPress函数，用于检查当前用户是否已经登录。如果用户已经登录，那么恭喜你，你已经通过了最基本的身份验证。
do_action( 'rest_api_non_logged_in', $this )：

如果用户没有登录，就会触发 rest_api_non_logged_in 这个动作钩子。开发者可以通过这个钩子来执行一些自定义的操作，比如记录未登录用户的访问日志，或者发送邮件通知管理员。这就像一个警报系统，提醒我们有未经授权的访问尝试。
$this->is_basic_auth_enabled() 和 $this->check_basic_authentication()：

这两个方法用于处理HTTP Basic Authentication。 is_basic_auth_enabled() 方法检查是否启用了Basic Auth，而 check_basic_authentication() 方法则负责验证Basic Auth的用户名和密码。

HTTP Basic Authentication 是一种简单的身份验证方式，客户端在请求头中携带用户名和密码，格式如下：
```
Authorization: Basic <base64_encoded_username:password>
```
虽然简单，但安全性较低，不建议在生产环境中使用，除非使用了HTTPS。
new WP_Error( 'rest_not_logged_in', __( 'You are not currently logged in.' ), array( 'status' => 401 ) )：

如果用户既没有登录，也没有通过Basic Auth验证，那么就会返回一个 WP_Error 对象，提示用户未登录，并返回HTTP状态码401 (Unauthorized)。

四、身份验证流程图

为了更清晰地理解 _check_authentication() 方法的验证流程，我们可以用一个简单的流程图来表示：

graph LR
    A[请求到达] --> B{是否通过 rest_authentication_errors 过滤器？};
    B -- 是 --> C[验证通过];
    B -- 否 --> D{用户是否已登录？};
    D -- 是 --> C;
    D -- 否 --> E{是否启用 Basic Auth？};
    E -- 是 --> F[检查 Basic Auth];
    F -- 通过 --> C;
    F -- 失败 --> G[返回 401 错误];
    E -- 否 --> G;
    C --> H[验证通过];
    G --> I[验证失败];

五、常用的身份验证方式

除了上面提到的 Basic Auth 和用户登录状态，WordPress REST API还支持其他一些身份验证方式，例如：

Cookies: 当用户通过WordPress后台登录后，会在浏览器中保存一个cookie。 REST API 可以通过这个cookie来验证用户的身份。这是最常用的方式，因为用户在访问网站时通常已经登录。
OAuth 1.0a: 一种更安全的身份验证方式，允许第三方应用安全地访问用户的WordPress数据，而无需获取用户的用户名和密码。
JWT (JSON Web Token): 一种基于token的身份验证方式，可以用于构建无状态的REST API。

六、自定义身份验证

WordPress REST API 提供了强大的扩展性，允许开发者自定义身份验证方式。你可以通过 rest_authentication_errors 过滤器来实现自己的身份验证逻辑。

例如，你可以创建一个插件，使用API Key来验证请求：

add_filter( 'rest_authentication_errors', 'my_custom_api_key_authentication' );

function my_custom_api_key_authentication( $result ) {
    // 检查请求头中是否包含 API Key
    $api_key = isset( $_SERVER['HTTP_X_API_KEY'] ) ? $_SERVER['HTTP_X_API_KEY'] : '';

    // 验证 API Key 是否有效
    if ( $api_key != 'your_secret_api_key' ) {
        return new WP_Error( 'rest_api_key_invalid', __( 'Invalid API Key.' ), array( 'status' => 401 ) );
    }

    return $result;
}

在这个例子中，我们检查请求头中是否包含 X-API-KEY 字段，并验证其值是否为 your_secret_api_key。如果API Key无效，则返回一个401错误。

七、安全性注意事项

在开发WordPress REST API时，安全性至关重要。以下是一些需要注意的事项：

使用HTTPS： 所有REST API请求都应该通过HTTPS进行，以防止数据被窃听。
验证所有输入数据： 确保对所有输入数据进行验证和过滤，以防止SQL注入、XSS等安全漏洞。
限制API访问权限： 只允许授权用户访问特定的API接口。
使用安全的身份验证方式： 避免使用Basic Auth等不安全的身份验证方式。
定期更新WordPress和插件： 及时更新WordPress和插件，以修复已知的安全漏洞。

八、总结

_check_authentication() 方法是WordPress REST API安全的核心组件，负责验证客户端的身份。通过了解它的工作原理，我们可以更好地理解WordPress REST API的安全性，并开发出更安全、更可靠的API接口。

掌握了这个方法，你就掌握了打开WordPress REST API大门的钥匙，可以根据自己的需求定制身份验证逻辑，让你的API接口更加安全可靠。

好了，今天的课程就到这里。希望大家有所收获！如果还有什么问题，欢迎提问。下课！

发表回复 取消回复

发表回复取消回复