WordPress移动端调用admin-ajax.php权限接口的认证问题

核心原因 #

WordPress通过登录Cookie识别用户登录状态，网页端浏览器会自动携带wordpress_logged_in_<hash>这类登录Cookie，但移动端APP/外部系统不会自动传递，所以即使用户已在移动端登录，请求缺少Cookie时，WordPress仍判定为未登录用户，只能触发wp_ajax_nopriv_*路由。

解决方案：传递登录Cookie + Nonce验证 #

要让移动端以登录用户身份触发wp_ajax_*路由，必须同时满足以下两个条件：

1. 传递登录Cookie

• 用户在移动端完成WordPress登录后，需获取并存储登录Cookie（核心是wordpress_logged_in_<hash>）。
• 后续调用admin-ajax.php时，在请求的Cookie头中携带该Cookie，确保Cookie的域名与WordPress站点域名完全匹配（比如站点是example.com，Cookie域名需为.example.com或example.com）。

2. 生成与验证Nonce

Nonce是WordPress的安全令牌，用于防止CSRF攻击，同时也是部分场景下触发wp_ajax_*路由的必要条件，具体操作如下：

生成Nonce

在用户登录成功后的响应中（比如登录接口、用户信息接口），用WordPress函数生成对应动作的Nonce：

// 生成针对updateCourseTimer动作的Nonce，动作名可自定义，需和验证时一致
$nonce = wp_create_nonce( 'update_course_timer_nonce' );
// 将$nonce返回给移动端，比如放在登录响应的data字段中

携带Nonce到请求

移动端调用admin-ajax.php时，二选一即可：

• 在请求参数中添加：_wpnonce=<生成的Nonce值>
• 在请求头中添加：X-WP-Nonce: <生成的Nonce值>

在Ajax函数中验证Nonce

修改你的updateCourseTimer函数，先验证Nonce和用户登录状态，再处理业务：

add_action( 'wp_ajax_updateCourseTimer', 'updateCourseTimer', 10, 4);
add_action( 'wp_ajax_nopriv_updateCourseTimer', 'updateCourseTimer', 10, 4);

function updateCourseTimer() {
    // 验证Nonce，动作名需和生成时一致
    if ( ! wp_verify_nonce( $_REQUEST['_wpnonce'] ?? '', 'update_course_timer_nonce' ) ) {
        wp_send_json_error( ['message' => '无效的安全令牌'], 403 );
    }

    // 确认当前用户已登录
    $current_user = wp_get_current_user();
    if ( ! $current_user->exists() ) {
        wp_send_json_error( ['message' => '用户未登录'], 401 );
    }

    // 你的业务逻辑代码...

    wp_send_json_success( ['message' => '课程计时器已更新'] );
}

额外注意事项

• Cookie安全：移动端存储Cookie时需加密，避免泄露用户身份凭证。
• 跨域处理：若移动端与WordPress站点跨域，需在WordPress中添加跨域允许头，示例：

add_action( 'init', 'allow_cors_for_mobile_ajax' );
function allow_cors_for_mobile_ajax() {
    $origin = $_SERVER['HTTP_ORIGIN'] ?? '';
    // 替换为你的移动端域名
    if ( strpos( $origin, 'your-mobile-app-domain.com' ) !== false ) {
        header( "Access-Control-Allow-Origin: $origin" );
        header( 'Access-Control-Allow-Credentials: true' );
        header( 'Access-Control-Allow-Methods: POST, GET, OPTIONS' );
        header( 'Access-Control-Allow-Headers: X-WP-Nonce, Content-Type' );
    }
}

• nopriv路由安全：即使启用登录用户路由，wp_ajax_nopriv_*路由也要添加权限验证，防止未授权访问。

内容的提问来源于stack exchange，提问作者WaterEyes