WordPress中如何正确存储外部API返回的Bearer Token？

不推荐在WordPress里直接用$_SESSION存Token，兼容问题和安全隐患都不少：

• WordPress核心默认不主动开启Session，如果你自己在代码里加session_start()，很容易和缓存插件、权限校验逻辑、第三方插件的Session处理逻辑冲突。轻则跨页面读不到Token，重则出现缓存串号，把A用户的Token返回给B访客。
• 原生PHP Session默认没做WordPress生态下的安全适配，没手动加固的话（比如绑定访客UA/IP、给Cookie加HttpOnly/Secure/SameSite标记、主动清理过期Session），很容易出现Session劫持，攻击者拿到访客的Session标识就能直接冒用对应Token。
• 如果站点用了多节点负载均衡，默认Session是存在单机文件里的，用户请求切到其他服务器的时候就会直接丢失Session数据。

根据业务场景选择即可，都是核心原生支持的能力，兼容绝大多数插件和服务器环境：

场景1：注册后用户会登录站点（绝大多数注册流程的默认逻辑） #

直接存用户元数据，这是最稳妥的方案：

• 调用外部API注册成功拿到Token、Token有效期时长后，直接把Token和过期时间戳绑定到对应用户ID下，参考代码：

// 替换为你注册流程里创建的新本站用户ID
$new_user_id = wp_insert_user( $user_data );
// 从外部API返回结果中取Token和有效期（单位：秒）
$api_token = $api_response['access_token'];
$token_expire_time = time() + $api_response['expires_in'];
// 存储到用户元，键名前加下划线避免后台自定义字段区域误展示
update_user_meta( $new_user_id, '_ext_api_bearer_token', $api_token );
update_user_meta( $new_user_id, '_ext_api_token_expire', $token_expire_time );

• 如需更高安全等级，存Token前可以用站点自带的wp_salt()作为密钥做一次对称加密，避免数据库拖库后直接泄露明文Token。
• 后续其他页面需要调用API时，先拿当前登录用户ID取元数据里的过期时间，没过期就直接取Token使用，过期了就调用外部API的刷新Token接口拿新值，更新到用户元即可，不用重复走注册流程。

场景2：注册流程未完成、未登录的访客临时需要用Token #

用WordPress原生的Transient临时缓存+安全Cookie实现，完全不需要开启原生Session：

• 第一次拿到Token的时候，生成一个32位以上的随机字符串作为访客唯一标识，把这个标识存在加了安全标记的Cookie里（开启HttpOnly、Secure、SameSite=Lax，禁止前端JS读取）。
• 用这个访客标识拼出Transient键名，把Token存在Transient里，过期时间直接设成和API返回的Token有效期一致，参考代码：

// 生成访客唯一ID
$visitor_key = wp_generate_password(32, false);
// 设安全Cookie，有效期和Token保持一致
setcookie( 'ext_api_visitor_key', $visitor_key, time() + $api_response['expires_in'], COOKIEPATH, COOKIE_DOMAIN, is_ssl(), true );
// 存Token到Transient，到期自动失效
set_transient( 'ext_api_token_' . $visitor_key, $api_token, $api_response['expires_in'] );

• 后续请求需要用Token的时候，先从$_COOKIE里取访客标识，再用get_transient()拿对应Token，取不到或者过期就重新走获取流程即可。这个方案天然支持多服务器部署、兼容各类缓存插件，生命周期自动管理，不用自己处理Session回收的问题。

注意：绝对不要把Bearer Token明文存在前端可读取的Cookie、localStorage、sessionStorage里，这类存储位置容易被XSS攻击窃取。所有Token的读取、拼接、API请求逻辑都要放在服务端完成，前端不要接触明文Token。

内容的提问来源于stack exchange，提问作者nTuply