WordPress AJAX调用中Nonce验证失败问题求助

核心问题分析 #

你的nonce验证失败，大概率是创建和验证时的Action字符串不匹配，或者参数传递/处理逻辑存在错误，具体可能的点包括：

• 创建nonce用的$tx_id和验证时用的$_POST['txnId']变量名/值不一致
• REST接口的nonce传递方式不符合WordPress规范
• 交易ID的格式/大小写导致拼接后的Action字符串不一致
• 结账页缓存导致nonce过期或与当前交易不匹配

具体修正步骤 #

1. 修正Nonce创建与前端传递逻辑 #

放弃直接用wp_nonce_field生成表单字段，改为通过wp_localize_script将nonce和交易ID传递给前端JS，确保每个交易的nonce唯一且正确关联：

function my_plugin_payment_scripts() {
    // 确保仅在结账页加载
    if (!is_checkout()) return;

    // 获取当前订单/交易ID（根据你的实际逻辑调整，比如从会话或订单对象获取）
    $tx_id = WC()->session->get('current_transaction_id');
    if (!$tx_id) return;

    // 创建关联交易ID的nonce
    $nonce = wp_create_nonce('my-plugin-key-' . $tx_id);

    // 将数据传递给前端JS
    wp_localize_script('woocommerce-checkout', 'MyPayPlugin', array(
        'apiUrl' => home_url('/wp-json/my-plugin/get-transaction'),
        'txnId' => $tx_id,
        'nonce' => $nonce
    ));
}
add_action('wp_enqueue_scripts', 'my_plugin_payment_scripts');

2. 调整前端AJAX请求的参数传递 #

确保请求头或请求体中正确携带nonce和交易ID，推荐用X-WP-Nonce请求头传递nonce（符合WordPress REST规范）：

// 前端发起交易状态查询的示例代码
async function checkTransactionStatus() {
    try {
        const response = await fetch(MyPayPlugin.apiUrl, {
            method: 'POST',
            headers: {
                'Content-Type': 'application/json',
                'X-WP-Nonce': MyPayPlugin.nonce // 关键：传递nonce到请求头
            },
            body: JSON.stringify({
                txnId: MyPayPlugin.txnId
            })
        });

        const data = await response.json();
        // 处理交易状态（跳转成功/失败页）
        if (data.status === 'success') {
            window.location.href = wc_checkout_params.order_received_url;
        } else {
            window.location.href = wc_checkout_params.checkout_url + '?payment_error=1';
        }
    } catch (error) {
        console.error('查询交易状态失败:', error);
    }
}

3. 修正REST接口的Nonce验证逻辑 #

在接口处理函数中，正确获取请求参数和nonce，确保验证用的Action字符串与创建时完全一致：

function my_plugin_get_transaction_handler($request) {
    // 获取请求参数（JSON格式）
    $params = $request->get_json_params();
    $txn_id = isset($params['txnId']) ? sanitize_text_field($params['txnId']) : '';
    $nonce = $request->get_header('X-WP-Nonce');

    // 验证交易ID和nonce
    if (empty($txn_id) || empty($nonce)) {
        return new WP_Error('missing_params', '缺少必要参数', array('status' => 400));
    }

    // 关键：确保Action字符串与创建nonce时完全一致
    if (!wp_verify_nonce($nonce, 'my-plugin-key-' . $txn_id)) {
        return new WP_Error('invalid_nonce', 'Nonce验证失败', array('status' => 403));
    }

    // 调用聚合器API获取交易状态（你的业务逻辑）
    $transaction_payload = your_payment_aggregator_get_transaction($txn_id);

    return rest_ensure_response($transaction_payload);
}

// 注册REST路由
add_action('rest_api_init', function() {
    register_rest_route('my-plugin', '/get-transaction', array(
        'methods' => WP_REST_Server::CREATABLE, // 对应POST请求
        'callback' => 'my_plugin_get_transaction_handler',
        // 权限回调：这里暂时允许所有请求，后续可根据需求调整为仅登录用户或特定角色
        'permission_callback' => function() {
            return is_user_logged_in() || is_checkout();
        }
    ));
});

额外排查要点 #

• 变量名一致性：检查创建nonce用的$tx_id和前端传递的txnId是否为同一个值，避免拼写错误（比如下划线/驼峰差异）。
• 缓存问题：确保结账页没有被缓存（比如禁用页面缓存插件对结账页的缓存），否则nonce会过期或与当前交易不匹配。
• Nonce有效期：WordPress nonce默认有效期为24小时，若交易流程耗时过长，可考虑延长有效期（不推荐，除非必要）。

内容的提问来源于stack exchange，提问作者Anseloh