使用Axios调用WordPress API创建用户时nonce值错误求助

核心问题 #

你遇到的nonce无效错误，主要源自以下几个操作失误：

1. Nonce与会话不匹配 #

你先通过匿名请求获取了create_user的nonce，但随后又请求了admin用户的generate_auth_cookie，此时会话切换为admin用户，之前匿名会话获取的nonce自然失效——JSON API的nonce是与当前用户会话绑定的，不同会话的nonce无法通用。

2. 请求参数传递错误 #

• 创建用户的参数全部塞进URL里，不符合POST请求的规范，JSON API的POST接口应该将参数放在请求体中；
• 请求头中添加了Access-Control-Allow-Origin这类响应头字段，前端设置完全无效，反而可能干扰请求。

3. 认证方式混乱 #

同时混用JWT认证和JSON API的Cookie认证，导致会话状态冲突，进一步加剧nonce验证失败的概率。

修复后的代码示例 #

以下是调整后的实现，移除冗余操作，确保nonce与会话一致：

// 先获取admin用户的认证cookie（如果必须用admin权限创建用户）
axios.get('http://nextjs-headless-wordpress.local/api/user/generate_auth_cookie/?insecure=cool&username=admin&password=admin')
.then(authResp => {
  const { cookie_name, cookie } = authResp.data;
  const authCookie = `${cookie_name}=${cookie}`;

  // 在admin会话下获取create_user的nonce（此时nonce与当前会话绑定）
  return axios.get('http://nextjs-headless-wordpress.local/api/get_nonce/?controller=users&method=create_user', {
    headers: { cookie: authCookie },
    withCredentials: true
  })
  .then(nonceResp => ({ authCookie, nonce: nonceResp.data.nonce }));
})
.then(({ authCookie, nonce }) => {
  // 构造创建用户的请求体参数
  const userData = {
    user_login: loginFields.email,
    user_password: loginFields.password,
    user_email: loginFields.email,
    display_name: loginFields.name,
    nonce: nonce,
    insecure: 'cool' // 仅测试环境使用，生产环境需移除
  };

  // 发送创建用户请求
  return axios.post('http://nextjs-headless-wordpress.local/api/users/create_user', userData, {
    headers: {
      cookie: authCookie,
      'Content-Type': 'application/json'
    },
    withCredentials: true
  });
})
.then(createResp => {
  console.log('用户创建成功:', createResp.data);
})
.catch(err => {
  console.error('请求错误:', err);
});

额外注意事项 #

• 生产环境必须移除insecure=cool参数，改用HTTPS协议确保请求安全；
• 如果允许匿名用户注册（插件设置中开启），可以去掉admin认证步骤，直接匿名获取nonce后发送注册请求；
• 避免同时使用多种认证方式（JWT和Cookie），保持认证逻辑统一。

内容的提问来源于stack exchange，提问作者Tsukimoto Mitsumasa