React嵌入WordPress非登录用户场景REST API安全认证方案

首先明确核心原则：所有需要高权限的写操作鉴权逻辑必须放在服务端完成，任何暴露在前端代码、前端可读取存储里的凭证，不管怎么加密混淆，都存在被逆向、抓包窃取的风险。你之前尝试的Application Passwords、JWT插件两类方案，设计目标是给服务端调用、私有客户端（独立APP、后台管理端）使用，完全不适用于公网游客可访问的前端场景。

最优实现方案：自定义公开提交接口（零前端凭证泄露） #

这是适配你当前场景的标准实现方式，完全满足用户无感知、无凭证泄露的要求，实现逻辑如下：

• 不要让React前端直接调用原生wp-json/wp/v2/posts接口创建文章。先在WordPress主题的functions.php文件（或者自定义功能插件里）注册一个专属的公开REST接口，专门接收调研提交数据，参考代码：

add_action('rest_api_init', function () {
  register_rest_route('survey/v1', '/submit', [
    'methods' => 'POST',
    'callback' => 'process_survey_data',
    'permission_callback' => '__return_true', // 开放游客提交权限
  ]);
});

• 接口回调函数process_survey_data里必须做三层校验，从根源避免垃圾提交和滥用：
  • 第一层做nonce校验：用WordPress原生wp_create_nonce('survey_submit')生成校验令牌，在嵌入React应用的时候通过wp_localize_script把这个令牌输出到前端全局变量，React发起请求时把令牌放到X-WP-Nonce请求头里，这个令牌绑定站点会话、有固定有效期，可防跨站伪造请求
  • 第二层做提交规则校验：校验必填字段是否完整、内容长度是否符合要求、过滤敏感违规词
  • 第三层做频率限制：按IP、设备指纹限制单位时间内的提交次数，比如同一IP10分钟内最多提交2次
• 所有校验通过后，直接在PHP服务端调用原生wp_insert_post()函数创建文章存储调研数据，整个过程用WordPress服务端自身的权限执行，完全不需要前端传递任何管理员账号、Application Passwords或者JWT凭证。
• React端逻辑非常简单：加载时读取全局变量里的nonce值，提交表单时把调研数据POST到你注册的自定义接口即可，全程用户无任何额外操作感知。

不推荐的备选方案：内置Cookie鉴权 #

你提到的加密Cookie传递凭证的方案，本质就是WordPress原生的登录Cookie鉴权机制，但这个方案不适用于游客场景：

• 你不可能给每个访问的游客下发带有文章创建权限的用户登录Cookie，哪怕给账号收窄到最小权限，只要前端能拿到对应Cookie，就可以被抓包后批量滥用提交垃圾内容
• 如果一定要用原生文章创建接口，必须配合服务端反向代理做权限拦截，把鉴权逻辑放在代理层，不要让请求直接带着高权限凭证打到WordPress，实现成本远高于上面的自定义接口方案，安全风险也更高。

不要尝试任何前端加密存储凭证、前端动态换取令牌的方案，所有运行在用户浏览器里的逻辑都是公开可逆向的，这类自造的加密方案没有实际安全防护能力，只会给你造成“安全”的错觉。

内容的提问来源于stack exchange，提问作者Peter