移动端APP与WordPress共享用户的REST API认证方案咨询

一、Application Password 相关疑问解答 #

1. 是否需要为每个用户创建Application Password？ #

• 是的，每个用户必须单独创建属于自己的Application Password。该密码与用户账号绑定，不同用户的密码相互独立。此外，单个用户还可以创建多个Application Password，用于区分不同的应用场景，方便后续单独撤销某一场景的权限。

2. Application Password 是否继承WordPress用户权限？ #

• 完全继承。Application Password的权限完全依附于所属用户在WordPress中的角色权限：比如用户是编辑角色，使用该密码调用REST API时，仅能执行编辑权限范围内的操作；若用户是管理员，则拥有所有管理员级别的API调用权限。

二、认证方式选择与三次请求实现 #

对比JWT、OAuth、Application Password三种方式，JWT是最适配移动端APP的方案，完全满足你“登录/注册/登出仅需三次请求”的需求，具体分析如下：

各认证方式对比 #

• Application Password：官方原生支持，但存在明显缺陷——需要用户先登录WordPress后台手动创建密码，无法通过APP的登录接口自动生成，不符合你简化操作的需求；且移动端存储固定密码的安全风险更高。
• OAuth：流程繁琐，需要授权码、刷新Token等多步操作，对于轻量级移动端APP来说过于复杂，没必要引入冗余机制。
• JWT：实现简单、移动端友好，完美匹配你的需求：登录后返回Token，后续请求仅需携带Token即可，支持通过简单接口实现登出，安全性与易用性平衡良好。

三次请求的具体实现思路 #

1. 登录请求：客户端向自定义REST API接口发送「邮箱/用户名+密码」，后端验证用户信息无误后，生成JWT Token返回给客户端，客户端将Token存储在本地安全存储中（如Keychain、SharedPreferences）。
2. 注册请求：客户端向自定义接口发送「邮箱+用户名+密码」，后端完成WordPress用户创建后，直接返回JWT Token（也可让用户后续自行发起登录请求）。
3. 登出请求：客户端向后端接口发送当前Token，后端将该Token加入失效黑名单（或设置立即过期），客户端同时删除本地存储的Token，完成登出。

注意：WordPress原生不支持JWT，需安装第三方插件（如JWT Authentication for WP REST API），或自行开发JWT的生成与验证逻辑。

内容的提问来源于stack exchange，提问作者L.DZ