WordPress REST API（wp-json）出现异常401与403错误

核心排查步骤 #

1. 验证Nonce的有效性与上下文 #

• wp_create_nonce('wp-rest')的action参数是正确的，但必须保证生成nonce的操作是在当前登录管理员的会话中执行的。如果nonce是在未登录状态生成后再登录，或者生成nonce的用户和当前登录用户不一致，都会导致验证失败。
• 临时添加调试代码确认用户一致性：
  • PHP端（主题functions.php）：

    echo '<p>当前PHP用户ID：' . wp_get_current_user()->ID . '</p>';
    

  • JS端：

    // 调用用户信息接口确认当前登录用户
    axios.get(MYSCRIPT.rest_url + 'wp/v2/users/me').then(resp => {
        console.log('当前JS用户ID：', resp.data.id);
    });
    

  两者ID必须完全一致，否则nonce绑定的会话不匹配。

2. 检查请求头的实际传递情况 #

• 打开浏览器开发者工具的Network面板，找到POST请求，查看Request Headers：
  • 确认X-WP-Nonce头存在，且值与页面中输出的MYSCRIPT.nonce完全一致。
  • 确认Cookie头中包含wordpress_logged_in_*开头的会话Cookie，且状态为有效。
• 部分服务器或安全插件会过滤自定义HTTP头，若X-WP-Nonce未出现在请求头中，需检查服务器配置（如Nginx/Apache的AllowHeaders规则）或安全插件的拦截设置。

3. 排除第三方代码干扰 #

• 临时切换到WordPress默认主题（如Twenty Twenty-Four），并禁用所有插件，重新测试POST请求：
  • 如果请求恢复正常，说明是主题或某个插件修改了REST API的权限规则。
  • 逐个启用插件/切换回原主题，定位到具体的干扰代码。
• 重点排查安全类插件（如Wordfence、iThemes Security），这类插件通常会对REST API的POST请求做额外验证，需在插件设置中为前端请求添加白名单。

4. 调试Nonce验证过程 #

• 在主题functions.php中添加日志代码，跟踪nonce验证结果：

  add_action('rest_api_init', function() {
      $received_nonce = $_SERVER['HTTP_X_WP_NONCE'] ?? '未收到';
      $is_valid = wp_verify_nonce($received_nonce, 'wp-rest');
      $current_user = get_current_user_id();
      
      error_log('REST API请求调试：');
      error_log('收到的nonce：' . $received_nonce);
      error_log('nonce验证结果：' . ($is_valid ? '有效' : '无效'));
      error_log('当前用户ID：' . $current_user);
  });
  

• 查看服务器的错误日志（通常在wp-content/debug.log或主机控制面板的日志模块），如果nonce验证结果为无效，说明nonce本身或会话存在问题；如果当前用户ID为0，说明请求未正确携带登录会话。

5. 规范Nonce的输出方式（可选，但能避免潜在问题） #

虽然你提到之后会调整，但当前直接输出script标签的方式可能存在上下文问题，建议改用WordPress官方推荐的wp_localize_script方法：

// 注册并本地化脚本
function enqueue_frontend_script() {
    wp_register_script('my-frontend-api', get_template_directory_uri() . '/js/api-scripts.js', array('axios'), '1.0', true);
    wp_localize_script('my-frontend-api', 'MYSCRIPT', array(
        'nonce' => wp_create_nonce('wp-rest'),
        'rest_url' => get_rest_url() // 直接使用官方方法获取REST API根地址，避免拼接错误
    ));
    wp_enqueue_script('my-frontend-api');
}
add_action('wp_enqueue_scripts', 'enqueue_frontend_script');

这种方式能确保nonce是在正确的脚本加载上下文中生成，且避免URL拼接错误。

内容的提问来源于stack exchange，提问作者Mauro