发布于 由admin

阐述 WordPress `admin-ajax.php` 文件的源码：它是如何处理所有后台 AJAX 请求的。

各位同学，欢迎来到今天的 “WordPress 背后的秘密” 讲座。今天我们要深挖一个 WordPress 核心文件，它如同一个后台管家，处理着几乎所有后台的 AJAX 请求。它就是——admin-ajax.php。

开场白：这位“万能管家”是谁？

想象一下，WordPress 后台的各种操作，比如保存文章、更新设置、添加分类等等，很多时候我们不需要刷新整个页面，就可以完成。这背后默默付出努力的就是 admin-ajax.php。它就像一个总调度中心，接收各种 AJAX 请求，然后根据请求的内容，调用相应的函数来处理，最后将结果返回给浏览器。

第一幕：admin-ajax.php 的核心职责

admin-ajax.php 的主要职责可以总结为以下几点：

  1. 接收 AJAX 请求： 接收来自 WordPress 后台的 AJAX POST 请求。
  2. 验证权限： 检查用户是否有权限执行请求的操作。
  3. 调度处理函数： 根据请求中的 action 参数，调用相应的 PHP 函数来处理请求。
  4. 返回结果： 将处理结果以 JSON 或其他格式返回给浏览器。

第二幕：源码剖析，让我们深入虎穴！

现在，让我们打开 wp-admin/admin-ajax.php 文件，看看里面的乾坤（以下代码基于 WordPress 最新版本，可能会有细微差异）：

<?php
/**
 * Ajax Action Handler
 *
 * @package WordPress
 * @subpackage Administration
 *
 * @since 2.1.0
 */

/** Make sure that we are in the WordPress environment. */
if ( ! defined( 'ABSPATH' ) ) {
    /** Set up WordPress environment */
    require_once __DIR__ . '/admin.php';
}

/** Load WordPress Bootstrap */
require_once ABSPATH . 'wp-load.php';

/** Allow for cross-domain requests (optional). */
send_origin_headers();

/** Load WordPress Administration APIs */
require_once ABSPATH . 'wp-admin/includes/admin.php';

/** Load Ajax Setup API */
require_once ABSPATH . 'wp-admin/includes/ajax-actions.php';

/**
 * Executing Ajax will also fire admin-related actions.
 *
 * To prevent these actions from firing, define DOING_AJAX before admin.php
 * is loaded.
 */
if ( ! defined( 'DOING_AJAX' ) ) {
    define( 'DOING_AJAX', true );
}

if ( ! headers_sent() ) {
    /**
     * Prevent browser level caching.
     *
     * The following header directives should prevent browser level caching in most modern browsers.
     *
     * Note: The "Cache-Control" header is added conditionally as the PHP `header()` function can only handle simple
     * key/value pairs. To allow more complex directives to be set, the {@see 'nocache_headers'} filter can be used.
     */
    nocache_headers();
}

/**
 * Check authentication and user capabilities.
 */
if ( ! is_user_logged_in() ) {
    wp_die( '0', 403 );
}

if ( ! current_user_can( 'edit_posts' ) ) { // 可以根据实际情况修改权限
    wp_die( '-1', 403 );
}

$action = ! empty( $_REQUEST['action'] ) ? sanitize_text_field( $_REQUEST['action'] ) : '';

// A bit of security enhancement
if ( is_scalar( $action ) ) {

    /**
     * Fires Ajax actions for logged in users.
     *
     * The dynamic portion of the hook name, `$action`, refers to the name
     * of the Ajax action callback being fired.
     *
     * @since 2.1.0
     */
    do_action( 'wp_ajax_' . $action );

    /**
     * Fires Ajax actions for users that are not logged in.
     *
     * The dynamic portion of the hook name, `$action`, refers to the name
     * of the Ajax action callback being fired.
     *
     * @since 2.8.0
     */
    do_action( 'wp_ajax_nopriv_' . $action );
}

// Default status
wp_die( '0' );

代码解读，抽丝剥茧

  1. 引入 WordPress 环境：

    • 首先，它会检查是否已经定义了 ABSPATH 常量，如果没有，则引入 wp-admin/admin.php 文件，该文件会负责设置 WordPress 环境。
    • 然后，引入 wp-load.php 文件，该文件会加载 WordPress 的核心文件，包括数据库连接、用户认证等。
    • 再引入 wp-admin/includes/admin.php 和 wp-admin/includes/ajax-actions.php，这两个文件包含了 WordPress 后台的常用函数和 AJAX 相关函数。
    if ( ! defined( 'ABSPATH' ) ) {
    /** Set up WordPress environment */
    require_once __DIR__ . '/admin.php';
}

/** Load WordPress Bootstrap */
require_once ABSPATH . 'wp-load.php';

/** Load WordPress Administration APIs */
require_once ABSPATH . 'wp-admin/includes/admin.php';

/** Load Ajax Setup API */
require_once ABSPATH . 'wp-admin/includes/ajax-actions.php';

  2. 定义 DOING_AJAX 常量：

    if ( ! defined( 'DOING_AJAX' ) ) {
    define( 'DOING_AJAX', true );
}
    • 定义 DOING_AJAX 常量为 true，告诉 WordPress 这是一个 AJAX 请求，可以避免一些不必要的代码执行。

  3. 防止浏览器缓存：

    if ( ! headers_sent() ) {
    nocache_headers();
}
    • 调用 nocache_headers() 函数，设置 HTTP 头部，防止浏览器缓存 AJAX 请求的结果。这可以确保每次请求都能够获取到最新的数据。

  4. 用户认证和权限验证：

    if ( ! is_user_logged_in() ) {
    wp_die( '0', 403 );
}

if ( ! current_user_can( 'edit_posts' ) ) { // 可以根据实际情况修改权限
    wp_die( '-1', 403 );
}
    • 首先，检查用户是否已经登录，如果没有登录，则返回错误信息 0 和 HTTP 状态码 403。
    • 然后，检查用户是否具有执行当前操作的权限，如果没有权限，则返回错误信息 -1 和 HTTP 状态码 403。
    • current_user_can() 函数用于检查用户是否具有指定的权限，例如 edit_posts、manage_options 等。
    • 这里的权限验证只是一个示例，实际应用中需要根据具体的操作来设置相应的权限。

  5. 获取 action 参数：

    $action = ! empty( $_REQUEST['action'] ) ? sanitize_text_field( $_REQUEST['action'] ) : '';
    • 从 $_REQUEST 数组中获取 action 参数，该参数指定了要执行的 AJAX 操作。
    • 使用 sanitize_text_field() 函数对 action 参数进行安全过滤，防止 XSS 攻击。

  6. 执行 AJAX 操作：

    if ( is_scalar( $action ) ) {
    /**
     * Fires Ajax actions for logged in users.
     *
     * The dynamic portion of the hook name, `$action`, refers to the name
     * of the Ajax action callback being fired.
     *
     * @since 2.1.0
     */
    do_action( 'wp_ajax_' . $action );

    /**
     * Fires Ajax actions for users that are not logged in.
     *
     * The dynamic portion of the hook name, `$action`, refers to the name
     * of the Ajax action callback being fired.
     *
     * @since 2.8.0
     */
    do_action( 'wp_ajax_nopriv_' . $action );
}
    • 这里是 admin-ajax.php 的核心部分，它会根据 action 参数的值，执行相应的 AJAX 操作。
    • do_action() 函数用于触发一个 WordPress 钩子，'wp_ajax_' . $action 和 'wp_ajax_nopriv_' . $action 分别是登录用户和未登录用户的钩子。
    • WordPress 允许开发者通过 add_action() 函数，将自己的函数绑定到这些钩子上，从而实现自定义的 AJAX 操作。
    • 例如，如果 action 参数的值为 my_ajax_action，则 WordPress 会触发 wp_ajax_my_ajax_action 钩子，并执行所有绑定到该钩子上的函数。
    • wp_ajax_nopriv_ 钩子用于处理未登录用户的 AJAX 请求，例如用户注册、找回密码等。

  7. 默认返回 0：

    wp_die( '0' );
    • 如果没有任何 AJAX 操作被执行，则默认返回 0，表示请求失败。

第三幕：实战演练，用代码说话

现在，让我们通过一个实际的例子，来演示如何使用 admin-ajax.php 处理 AJAX 请求。

场景： 我们要实现一个简单的 AJAX 功能，点击一个按钮，在页面上显示 “Hello, AJAX!”。

步骤：

  1. 编写 PHP 函数：

    • 首先，我们需要编写一个 PHP 函数，用于处理 AJAX 请求。
    • 这个函数会返回一个字符串 “Hello, AJAX!”。
    function my_ajax_handler() {
    echo 'Hello, AJAX!';
    wp_die(); // 结束 AJAX 请求，避免返回多余的数据
}

  2. 绑定函数到钩子：

    • 然后，我们需要使用 add_action() 函数，将这个 PHP 函数绑定到 wp_ajax_my_ajax_action 钩子上。
    • 这样，当 admin-ajax.php 接收到 action 参数为 my_ajax_action 的请求时，就会执行这个 PHP 函数。
    • 同样，我们还需要将这个函数绑定到 wp_ajax_nopriv_my_ajax_action 钩子上，以便未登录用户也可以使用这个 AJAX 功能。
    add_action( 'wp_ajax_my_ajax_action', 'my_ajax_handler' );
add_action( 'wp_ajax_nopriv_my_ajax_action', 'my_ajax_handler' );
    • 这段代码应该放在主题的 functions.php 文件或者自定义插件中。

  3. 编写 JavaScript 代码：

    • 最后，我们需要编写 JavaScript 代码，用于发送 AJAX 请求到 admin-ajax.php。
    • 这段代码会在点击按钮时，发送一个 POST 请求到 admin-ajax.php，并传递 action 参数为 my_ajax_action。
    • 当 admin-ajax.php 返回结果时，这段代码会将结果显示在页面上。
    jQuery(document).ready(function($) {
    $('#my_button').click(function() {
        $.ajax({
            url: ajaxurl, // WordPress 定义的全局变量，指向 admin-ajax.php
            type: 'POST',
            data: {
                action: 'my_ajax_action'
            },
            success: function(response) {
                $('#my_result').text(response);
            }
        });
    });
});
    • 这段代码应该放在主题的 JavaScript 文件中，并且需要在 WordPress 中注册并加载这个 JavaScript 文件。
    • ajaxurl 是 WordPress 定义的全局变量，指向 admin-ajax.php 的 URL。
    • 需要在 WordPress 中注册并加载 JavaScript 文件，可以使用 wp_enqueue_scripts 钩子：
    function my_enqueue_scripts() {
    wp_enqueue_script( 'my_script', get_template_directory_uri() . '/js/my_script.js', array( 'jquery' ), '1.0', true );
    wp_localize_script( 'my_script', 'ajaxurl', admin_url( 'admin-ajax.php' ) );
}
add_action( 'wp_enqueue_scripts', 'my_enqueue_scripts' );
    • wp_localize_script() 函数用于将 PHP 变量传递给 JavaScript 文件。

  4. HTML 代码：

    • 最后，在页面上添加一个按钮和一个用于显示结果的元素：
    <button id="my_button">Click Me!</button>
<div id="my_result"></div>
    • 这段代码可以放在主题的模板文件中。

代码总结，一目了然

文件 代码 说明
functions.php php function my_ajax_handler() { echo 'Hello, AJAX!'; wp_die(); // 结束 AJAX 请求，避免返回多余的数据 } add_action( 'wp_ajax_my_ajax_action', 'my_ajax_handler' ); add_action( 'wp_ajax_nopriv_my_ajax_action', 'my_ajax_handler' ); function my_enqueue_scripts() { wp_enqueue_script( 'my_script', get_template_directory_uri() . '/js/my_script.js', array( 'jquery' ), '1.0', true ); wp_localize_script( 'my_script', 'ajaxurl', admin_url( 'admin-ajax.php' ) ); } add_action( 'wp_enqueue_scripts', 'my_enqueue_scripts' ); 定义 AJAX 处理函数，绑定到钩子，注册并加载 JavaScript 文件。
my_script.js javascript jQuery(document).ready(function($) { $('#my_button').click(function() { $.ajax({ url: ajaxurl, // WordPress 定义的全局变量，指向 admin-ajax.php type: 'POST', data: { action: 'my_ajax_action' }, success: function(response) { $('#my_result').text(response); } }); }); }); | JavaScript 代码，用于发送 AJAX 请求到 admin-ajax.php，并处理返回结果。
模板文件 html <button id="my_button">Click Me!</button> <div id="my_result"></div> HTML 代码，包含一个按钮和一个用于显示结果的元素。

第四幕：安全问题，不能忽视！

虽然 admin-ajax.php 提供了方便的 AJAX 功能，但同时也带来了一些安全风险。如果不加以防范，可能会导致 XSS 攻击、CSRF 攻击等。

常见安全问题：

  1. 权限控制不严：

    • 如果没有对 AJAX 请求进行严格的权限控制，可能会导致未授权用户执行敏感操作。
    • 解决方案： 使用 current_user_can() 函数，检查用户是否具有执行当前操作的权限。

  2. 数据验证不足：

    • 如果没有对 AJAX 请求中的数据进行严格的验证，可能会导致 XSS 攻击、SQL 注入等。
    • 解决方案： 使用 WordPress 提供的安全函数，例如 sanitize_text_field()、esc_sql() 等，对数据进行过滤和转义。

  3. CSRF 攻击：

    • CSRF 攻击是指攻击者冒充用户，执行用户不知情的操作。
    • 解决方案： 使用 WordPress 提供的 nonce 机制，防止 CSRF 攻击。

Nonce 机制：

Nonce 是一个一次性的、随机的字符串，用于验证请求的合法性。WordPress 提供了 wp_create_nonce() 函数，用于生成 nonce，wp_verify_nonce() 函数，用于验证 nonce。

示例：

  1. 生成 Nonce：

    • 在 HTML 代码中，添加一个隐藏的表单字段，用于存储 nonce。
    <?php wp_nonce_field( 'my_ajax_action_nonce', 'my_nonce' ); ?>
    • wp_nonce_field() 函数会自动生成一个隐藏的表单字段，包含 nonce 值。
    • 第一个参数是 action，用于标识 nonce 的用途，第二个参数是字段名。

  2. 验证 Nonce：

    • 在 AJAX 处理函数中，验证 nonce 的有效性。
    function my_ajax_handler() {
    // 验证 nonce
    if ( ! isset( $_POST['my_nonce'] ) || ! wp_verify_nonce( $_POST['my_nonce'], 'my_ajax_action_nonce' ) ) {
        wp_die( 'Invalid nonce!' );
    }

    echo 'Hello, AJAX!';
    wp_die(); // 结束 AJAX 请求，避免返回多余的数据
}
    • wp_verify_nonce() 函数用于验证 nonce 的有效性，如果 nonce 无效，则返回 false。

  3. JavaScript 代码：

    jQuery(document).ready(function($) {
    $('#my_button').click(function() {
        $.ajax({
            url: ajaxurl, // WordPress 定义的全局变量，指向 admin-ajax.php
            type: 'POST',
            data: {
                action: 'my_ajax_action',
                my_nonce: $('#my_nonce').val() // 获取 nonce 值
            },
            success: function(response) {
                $('#my_result').text(response);
            }
        });
    });
});
    • 在 JavaScript 代码中，需要将 nonce 值添加到 AJAX 请求的数据中。

第五幕：性能优化，精益求精

admin-ajax.php 是一个重量级的文件，每次 AJAX 请求都会加载整个 WordPress 环境，这会消耗大量的服务器资源。如果 AJAX 请求过多，可能会导致网站性能下降。

优化建议：

  1. 避免不必要的 AJAX 请求：

    • 尽量减少 AJAX 请求的数量，避免在不需要使用 AJAX 的地方使用 AJAX。
    • 可以使用缓存技术，例如 transient API，缓存 AJAX 请求的结果，减少数据库查询次数。

  2. 使用 Heartbeat API：

    • Heartbeat API 是 WordPress 提供的一个轻量级的 AJAX API，可以用于处理一些简单的 AJAX 请求。
    • Heartbeat API 不会加载整个 WordPress 环境，因此性能更高。

  3. 使用 REST API：

    • REST API 是 WordPress 提供的一个标准的 API，可以用于处理各种 AJAX 请求。
    • REST API 可以使用缓存技术，并且可以支持多种数据格式，例如 JSON、XML 等。

第六幕：总结，画上句号

admin-ajax.php 是 WordPress 后台 AJAX 请求的核心处理文件，它负责接收 AJAX 请求，验证权限，调度处理函数，并返回结果。虽然 admin-ajax.php 提供了方便的 AJAX 功能，但同时也带来了一些安全风险和性能问题。我们需要通过合理的权限控制、数据验证、Nonce 机制以及性能优化，来保证 WordPress 网站的安全性和性能。

好了，今天的讲座就到这里，希望大家能够对 admin-ajax.php 有更深入的了解。下次再见！

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注