WordPress MySQL私有用户数据安全访问鉴权方案咨询

对你的「自有WordPress站点+配套自有安卓App」场景，OAuth2是成熟可用的标准方案，不需要自研鉴权逻辑踩安全坑；如果不想装额外插件，用WordPress 5.6+核心自带的应用密码（Application Passwords）方案更轻量，两种方案都能满足「仅登录用户访问自身私有数据」的核心需求，不存在本质的安全性差异。

1. 颁发authorization code前的用户身份认证实现方式 #

你是自有App对接自有站点，不需要实现第三方OAuth场景下的浏览器跳转授权页逻辑，直接复用WordPress原生身份校验能力即可：

• 安卓端直接在自有登录页收集用户的账号密码（或你站点支持的短信验证码等其他登录凭证）
• 把凭证提交到WP OAuth Server插件提供的令牌端点，插件内部会调用WordPress原生wp_authenticate逻辑校验凭证有效性，校验通过才会颁发code或access token，校验失败直接返回401状态码
• 这个场景下推荐直接用资源所有者密码凭据模式（ROPC），跳过冗余的授权码跳转流程，适配自有App的使用体验

2. 跨用户越权访问隐患的规避方式 #

这个问题不是OAuth2本身的设计缺陷，是鉴权逻辑的实现疏漏，做两层约束就能完全堵上：

• 服务端颁发token时，强制把token和当前认证通过的用户ID做绑定，映射关系存在服务端数据库，绝对不允许客户端自定义token对应的用户身份
• 私有数据接口完全不信任客户端传参里的用户ID，所有查询用的用户ID必须从服务端解析token得到的绑定值获取。举个例子：就算客户端恶意传参user_id=2，只要解析当前请求携带的token发现绑定的是用户1，就只返回用户1的数据，或直接返回403拒绝请求
• 额外给token分配最小权限scope：给安卓App颁发的token只授予read_own_private_data权限，不开放任意用户数据读取权限，接口层先校验scope匹配再处理业务逻辑

3. 调用API时的access token有效性校验 #

WP OAuth Server已经封装好了完整的校验逻辑，不需要你自己写token签名、过期校验的代码：

• 安卓端调用私有API时，把access token放在请求头中传输，格式为Authorization: Bearer {access_token}，不要把token放在GET参数中避免泄露
• 你的PHP接口开头直接调用插件提供的校验方法即可，参考实现代码：

// 加载WordPress核心环境
require_once __DIR__ . '/wp-load.php';

// 校验token是否有效、是否拥有对应接口权限
$oauth_server = new WP_OAuth_Server();
$token_check = $oauth_server->validate_access_token('read_own_private_data');

if (is_wp_error($token_check)) {
    status_header(401);
    exit(json_encode([
        'code' => 'invalid_token',
        'message' => '访问凭证无效或已过期'
    ]));
}

// 从校验通过的token中获取当前用户ID，不读取客户端传的用户ID参数
$current_uid = $token_check->user_id;

// 后续业务逻辑只用$current_uid查询对应用户的私有数据即可

插件会自动完成token是否过期、是否被吊销、权限scope是否匹配的全量校验，不需要额外开发。

如果觉得OAuth2流程偏复杂，你可以直接用WordPress 5.6版本后核心内置的**应用密码（Application Passwords）**功能，不需要安装任何第三方插件：

• 用户在App端登录校验通过后，服务端为该用户生成一个唯一的应用密码
• 安卓端请求接口时把应用密码放在Basic Auth请求头中传输，WordPress核心会自动完成身份校验
• 接口里直接调用原生函数get_current_user_id()就能拿到当前请求对应的用户ID，完全避免越权问题，开发成本比OAuth2低很多，安全性满足自有App对接的要求。

内容的提问来源于stack exchange，提问作者Hayden Gorringe