探究 WordPress `wp_set_current_user()` 函数的源码：如何安全地设置当前用户。 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

大家好，欢迎来到今天的 "WordPress 源码奇妙夜" 讲座！今晚，我们不聊风花雪月，只啃硬骨头，一起深入 WordPress 的核心地带，扒一扒 wp_set_current_user() 这个看似简单却暗藏玄机的函数。

准备好开启你的脑洞了吗？Let’s go!

开场白：我是谁？我在哪？我要干什么？

想象一下，你是一位 WordPress 网站的保安队长，你的职责是识别进出网站的每一位用户，确保他们有权限访问相应的区域。 wp_set_current_user() 函数，就像你的身份验证扫描仪，它负责告诉你，当前访问者是谁，以及他们应该拥有什么权限。

这个函数非常重要，因为它直接关系到你的网站安全。如果它被滥用或者理解不透彻，你的网站可能会被黑客轻易攻破，想象一下，一个不怀好意的人通过伪造身份，堂而皇之地进入你的后台，删帖子、改主题，甚至把你的网站变成僵尸网络的一部分，想想都可怕！

所以，今天我们的目标是：彻底了解 wp_set_current_user() 的工作原理，以及如何安全地使用它，避免踩坑。

第一幕： wp_set_current_user() 的基本用法

首先，我们先来看看 wp_set_current_user() 的基本用法，这就像学习一门外语的字母表一样，是后续深入学习的基础。

这个函数接受两个参数：

$id (int): 用户 ID。
$name (string, optional): 用户名。从 WordPress 4.3.0 开始可用，默认值为 ”。

最简单的用法就是，你想把用户 ID 为 1 的用户设置为当前用户：

wp_set_current_user(1);

这行代码就像在你的网站上大声宣布：“现在，用户 ID 为 1 的用户是老大！” 之后，WordPress 会认为所有操作都是由这个用户执行的。

但是，等等！事情并没有这么简单。仅仅设置用户 ID 并不足以确保安全。为什么呢？因为 WordPress 还需要验证这个用户是否存在，以及他们是否拥有相应的权限。

第二幕： wp_set_current_user() 源码解读

现在，让我们打开 WordPress 的源码，看看 wp-includes/pluggable.php 文件中 wp_set_current_user() 函数的真面目：

function wp_set_current_user( $id, $name = '' ) {
    global $current_user, $wp_roles;

    $id = (int) $id;

    if ( empty( $id ) ) {
        $current_user = wp_get_current_user();
        return;
    }

    if ( empty( $wp_roles ) ) {
        $wp_roles = new WP_Roles();
    }

    $current_user = get_userdata( $id );

    if ( empty( $current_user ) ) {
        $current_user = wp_get_current_user();
        return;
    }

    wp_cache_set( $id, $current_user, 'users' );

    wp_cache_set( $current_user->user_login, $current_user, 'userlogins' );

    /**
     * Fires after the current user is set.
     *
     * @since 2.1.0
     *
     * @param WP_User $current_user WP_User object for the current user.
     */
    do_action( 'set_current_user', $current_user );
}

让我们逐行解读这段代码，就像侦探破案一样：

global $current_user, $wp_roles;: 声明 $current_user 和 $wp_roles 为全局变量。 $current_user 存储当前用户的信息，$wp_roles 存储用户的角色和权限信息。
$id = (int) $id;: 将用户 ID 转换为整数，确保数据类型正确。
if ( empty( $id ) ) { ... }: 如果用户 ID 为空，则调用 wp_get_current_user() 函数获取当前用户。这个函数通常用于在用户未登录时，获取一个默认的匿名用户。
if ( empty( $wp_roles ) ) { ... }: 如果 $wp_roles 变量为空，则创建一个 WP_Roles 对象。这个对象包含了 WordPress 中所有用户角色和权限的信息。
$current_user = get_userdata( $id );: 通过用户 ID 获取用户数据。 get_userdata() 函数会从数据库中查询用户的信息，并返回一个 WP_User 对象。
if ( empty( $current_user ) ) { ... }: 如果 $current_user 变量为空，说明用户 ID 对应的用户不存在，则调用 wp_get_current_user() 函数获取当前用户。
wp_cache_set( $id, $current_user, 'users' ); 和 wp_cache_set( $current_user->user_login, $current_user, 'userlogins' );: 将用户数据缓存起来，以便下次访问时能够更快地获取。
do_action( 'set_current_user', $current_user );: 触发 set_current_user action hook。这个 hook 允许开发者在用户设置之后执行一些自定义操作，例如记录用户活动日志或者更新用户状态。

第三幕：潜在的风险和安全隐患

现在我们已经了解了 wp_set_current_user() 的基本用法和源码，接下来我们需要关注的是它可能带来的风险。

权限绕过: 如果你的代码中存在漏洞，允许未经授权的用户随意调用 wp_set_current_user() 函数，那么攻击者就可以伪造身份，获得管理员权限，从而控制你的网站。
数据篡改: 攻击者可以通过篡改用户 ID，冒充其他用户，访问他们的个人信息，甚至修改他们的密码。
恶意代码注入: 如果你的代码中没有对用户 ID 进行严格的验证，攻击者可以通过注入恶意代码，例如 SQL 注入，来获取数据库中的敏感信息。

第四幕：安全使用 wp_set_current_user() 的最佳实践

为了避免上述风险，我们需要遵循一些最佳实践：

永远不要在前端直接使用 wp_set_current_user(): 这个函数应该只在后端使用，例如在插件或主题的代码中。如果你需要在前端设置当前用户，例如在用户登录时，应该使用 WordPress 提供的登录 API，而不是直接调用 wp_set_current_user()。
验证用户 ID 的合法性: 在使用 wp_set_current_user() 之前，务必验证用户 ID 是否存在，以及当前用户是否有权限设置该用户。你可以使用 get_user_by() 函数来验证用户是否存在，使用 current_user_can() 函数来验证当前用户是否拥有相应的权限。
使用非零整数的用户 ID: 确保你传递给 wp_set_current_user() 的用户 ID 是一个有效的非零整数。传递无效的 ID 会导致 WordPress 出现意外的行为。
小心使用 set_current_user hook: 如果你使用了 set_current_user hook，务必确保你的代码不会引入安全漏洞。例如，不要在这个 hook 中执行任何敏感操作，例如修改用户密码或者删除用户数据。
代码审查: 定期审查你的代码，特别是涉及到用户身份验证和权限控制的代码，确保不存在安全漏洞。

第五幕：代码示例：安全地设置当前用户

下面是一个代码示例，演示了如何安全地使用 wp_set_current_user() 函数：

function my_plugin_set_current_user( $user_id ) {
  // 1. 验证当前用户是否有权限设置其他用户
  if ( ! current_user_can( 'edit_users' ) ) {
    wp_die( '你没有权限设置其他用户！' );
  }

  // 2. 验证用户 ID 是否有效
  $user = get_user_by( 'id', $user_id );
  if ( ! $user ) {
    wp_die( '用户 ID 无效！' );
  }

  // 3. 设置当前用户
  wp_set_current_user( $user_id );

  // 4. 记录日志 (可选)
  error_log( '用户 ' . wp_get_current_user()->user_login . ' 设置当前用户为 ' . $user->user_login );
}

这段代码首先验证当前用户是否有权限编辑用户，然后验证用户 ID 是否有效。只有在两个条件都满足的情况下，才会调用 wp_set_current_user() 函数设置当前用户。最后，代码还会记录日志，以便追踪用户活动。

第六幕：进阶技巧：模拟用户登录

有时候，在开发插件或主题时，我们需要模拟用户登录，以便测试不同的用户角色和权限。 wp_set_current_user() 函数可以帮助我们实现这个目标。

例如，假设你想模拟一个管理员登录：

function simulate_admin_login() {
  // 获取管理员用户 ID (通常是 1)
  $admin_id = 1;

  // 设置当前用户为管理员
  wp_set_current_user( $admin_id );

  // 更新用户会话 (可选)
  wp_set_auth_cookie( $admin_id );
  do_action( 'wp_login', $admin_id );
}

这段代码首先获取管理员的用户 ID，然后调用 wp_set_current_user() 函数设置当前用户为管理员。为了让 WordPress 认为用户已经登录，我们还需要调用 wp_set_auth_cookie() 函数设置认证 cookie，并触发 wp_login action hook。

注意： 模拟用户登录应该只在开发环境中使用，不要在生产环境中使用。否则，可能会导致安全问题。

第七幕：总结与反思

今天我们深入探讨了 WordPress 的 wp_set_current_user() 函数，了解了它的基本用法、源码、潜在风险以及安全使用方法。希望通过今天的学习，你能够更加自信地使用这个函数，并避免踩坑。

记住，安全是 WordPress 开发的重中之重。只有掌握了安全知识，才能构建出健壮、可靠的 WordPress 网站。

总结：

知识点	描述
`wp_set_current_user()`	设置当前用户，是 WordPress 中一个非常重要的函数，直接关系到网站安全。
安全风险	权限绕过、数据篡改、恶意代码注入。
安全最佳实践	不要在前端直接使用，验证用户 ID 的合法性，使用非零整数的用户 ID，小心使用 `set_current_user` hook，代码审查。
模拟用户登录	可以使用 `wp_set_current_user()` 模拟用户登录，但应该只在开发环境中使用。

希望这次讲座能让你对 wp_set_current_user() 有一个更深刻的理解。如果你还有任何问题，欢迎随时提问！感谢大家的参与，我们下次再见！

发表回复 取消回复

发表回复取消回复