WP REST API调用报rest_cookie_invalid_nonce错误求助

可能的原因 #

• nonce生成时用错了动作钩子：WP REST API默认只认wp_rest这个动作的nonce，要是你用wp_create_nonce时传了别的动作名，肯定验证失败。
• nonce生成得太早：用户登录会话还没完全建立就生成nonce（比如init钩子之前，或者用户身份还没验证完），生成的nonce和后续的登录会话对不上。
• Cookie路径/域名不匹配：登录Cookie（wordpress_logged_in_xxx）的路径、域名和前端请求的环境不一致，导致验证nonce时读不到正确的会话信息。比如站点Cookie路径设的是/blog，但前端请求的是根路径/，或者域名带了子域名但Cookie没设成通配符。
• SSL Cookie属性有问题：站点开了SSL，但Cookie的secure属性没设置对，会导致nonce和会话关联失效。WordPress默认SSL环境下会给登录Cookie加secure属性，但要是改了Cookie设置，可能就坏了这个逻辑。

解决办法 #

• 生成nonce时用对动作名：直接调用wp_create_nonce( 'wp_rest' )，REST API的验证逻辑默认只认这个动作的nonce。
• 延迟生成nonce：等用户登录会话完全初始化后再生成，比如挂在wp钩子（这个钩子在用户认证完成后触发）或者template_redirect钩子之后。示例代码：

add_action( 'wp', function() {
    if ( is_user_logged_in() ) {
        $nonce = wp_create_nonce( 'wp_rest' );
        // 把nonce存到Cookie里，比如：
        setcookie( 'wp_rest_nonce', $nonce, time() + DAY_IN_SECONDS, COOKIEPATH, COOKIE_DOMAIN, is_ssl(), true );
    }
} );

• 检查Cookie相关常量设置：在wp-config.php里确认这些配置是否正确：

define( 'COOKIEPATH', '/' ); // 和站点根路径保持一致
define( 'COOKIE_DOMAIN', $_SERVER['HTTP_HOST'] ); // 匹配当前请求的域名
define( 'SECURE_AUTH_COOKIE', is_ssl() );
define( 'LOGGED_IN_COOKIE', is_ssl() );

• 核对前端请求的nonce：前端要确保从Cookie里读的是最新的wp_rest动作nonce，并且准确放到X-WP-Nonce请求头里。可以用浏览器开发者工具的Network面板，查看请求头里的nonce值对不对。
• 排查插件干扰：有些安全插件会改Cookie或nonce验证逻辑，临时禁用插件试试能不能正常调用API。

内容的提问来源于stack exchange，提问作者Mauro