如何通过WordPress REST API带凭证访问$_SESSION？Nonce认证可行吗？

一、能否用Nonce认证实现需求？ #

可以通过Nonce认证保障REST请求的合法性，同时结合PHP Session访问存储的第三方令牌，但需要完善现有代码的Nonce验证逻辑，并确保Session在REST请求中正常启用。

1. 启用REST请求中的Session

WordPress默认不会在REST请求中自动启动Session，需添加钩子初始化：

add_action('rest_api_init', function() {
    if ( ! session_id() ) {
        session_start();
    }
});

2. 完善Nonce验证的权限回调

你当前的permission_callback直接返回__return_true，没有验证Nonce，存在安全风险。修改为验证Nonce的逻辑：

function register_user_with_studio() {
    register_rest_route(
        'myplugin-auth/v1',
        '/registeruser',
        array(
            'methods'             => \WP_REST_Server::CREATABLE,
            'callback'            => __NAMESPACE__ . '\add_user_to_studio',
            'permission_callback' => function( WP_REST_Request $request ) {
                // 从表单参数或请求Header获取Nonce
                $nonce = $request->get_param('_wpnonce') ?: $request->get_header('X-WP-Nonce');
                if ( ! $nonce || ! wp_verify_nonce( $nonce, 'wp_rest' ) ) {
                    return new WP_Error( 'invalid_nonce', '无效的验证随机数', array( 'status' => 403 ) );
                }
                return true;
            }
        )
    );
}

3. 在回调中访问$_SESSION令牌

完成以上配置后，即可在回调函数中直接读取Session中的令牌：

function add_user_to_studio( $request ) {
    $params = $request->get_body_params();
    // 读取存储的第三方令牌（假设令牌存在$_SESSION['third_party_token']）
    $third_party_token = isset( $_SESSION['third_party_token'] ) ? $_SESSION['third_party_token'] : null;

    if ( ! $third_party_token ) {
        return new WP_Error( 'missing_token', '未找到第三方会话令牌', array( 'status' => 400 ) );
    }

    // 在这里执行第三方API调用等业务逻辑
    return array( 
        'result' => '成功获取令牌并处理请求',
        // 注意：生产环境不要返回令牌内容，此处仅为示例
    );
}

二、WP的Nonce认证是否仅对已登录用户生效？ #

是的，默认wp_rest动作的Nonce与当前WordPress用户绑定：

• 已登录用户的Nonce基于其用户ID生成，仅对该用户的会话有效；
• 未登录用户的Nonce基于匿名用户ID（0）生成，虽能通过验证，但安全性较低，无法区分具体访客。

如果你的接口需要支持未登录用户使用，建议自定义Nonce动作名称（比如myplugin_custom_nonce），生成和验证时统一使用该动作，避免依赖WP用户登录状态：

// 本地化脚本时生成自定义Nonce
$params = array(
    'nonce' => wp_create_nonce( 'myplugin_custom_nonce' )
);
wp_localize_script( 'my_script', 'user_tools', $params );

// 权限回调中验证自定义Nonce
wp_verify_nonce( $nonce, 'myplugin_custom_nonce' )

内容的提问来源于stack exchange，提问作者MikeiLL