本地WordPress调用wp-json返回forbidden_access问题求助

1. 检查本地站点的.htaccess配置 #

线上与本地的重写规则可能存在差异，这是REST API访问异常的常见原因：

• 打开本地站点根目录的.htaccess文件，确认是否包含WordPress默认的REST API重写规则：

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

• 若规则缺失，先备份原文件，替换为上述默认规则，再到WP后台「设置-固定链接」页面点击「保存更改」刷新规则。

2. 验证本地站点权限设置 #

• 文件/文件夹权限：确保wp-content、wp-includes等目录权限为755，文件权限为644（本地环境可适当放宽，但禁止使用777权限）。
• 用户权限：当前登录用户需具备edit_posts或更高权限（REST API默认要求对应权限访问非公开端点）；若未登录状态访问，需确认是否有主题或自定义代码强制要求登录（插件已卸载，但可能有残留逻辑）。

3. 排查主题自定义代码 #

已卸载所有插件仍有问题，优先排查主题限制：

• 切换到WordPress默认主题（如Twenty Twenty-Four），测试wp-json是否能正常访问。若恢复正常，说明当前主题存在限制逻辑。
• 打开主题的functions.php文件，查找是否存在rest_authentication_errors钩子，类似以下代码会限制未登录用户访问：

add_filter( 'rest_authentication_errors', function( $result ) {
    if ( ! is_user_logged_in() ) {
        return new WP_Error( 'forbidden_access', 'Access denied', array( 'status' => 403 ) );
    }
    return $result;
});

根据需求调整或删除此类代码即可。

4. 检查本地服务器配置 #

• 确认本地服务器（如XAMPP、WAMP、Local）是否启用了mod_rewrite模块（Apache环境）；若为Nginx，需确认重写规则是否正确配置。
• 检查hosts文件，确保本地站点域名映射正确，避免因解析异常导致权限验证失败。
• 临时关闭本地防火墙或安全软件，部分工具会拦截REST API请求。

5. 排查数据库残留设置 #

• 登录本地phpMyAdmin，查看wp_options表中的siteurl和home字段，确认与本地访问地址完全一致（避免使用线上域名）。
• 搜索表中包含rest、api的选项记录，删除插件卸载后残留的限制项（操作前务必备份数据库）。

6. 开启调试获取错误细节 #

在wp-config.php中添加以下代码开启调试模式，获取更具体的错误信息：

define( 'WP_DEBUG', true );
define( 'WP_DEBUG_LOG', true );
define( 'WP_DEBUG_DISPLAY', false );

访问wp-json后，查看wp-content/debug.log文件，里面会记录错误的具体原因，帮助快速定位问题。

内容的提问来源于stack exchange，提问作者user19540948