Postman调用WordPress API提交POST请求创建用户未生效问题

你当前拿到的接口响应不是WordPress原生REST API创建用户接口的标准返回，这是问题核心：原生wp/v2命名空间下的用户创建接口调用成功后，会返回HTTP 201状态码，同时携带新用户的ID、角色、注册时间等完整信息。你拿到的响应带json_api_version字段，属于站点安装的第三方旧版JSON API插件的根路径响应，说明请求根本没有走到用户创建的逻辑中，按以下顺序排查即可：

• 确认请求端点与跳转逻辑正常
  先在浏览器直接访问你的域名/wp-json/wp/v2，如果返回的路由列表里包含/wp/v2/users的POST路由，说明原生REST API路由正常。你当前返回旧版API响应，大概率是两个原因：
  1. 站点安装了接管/wp-json路径的旧版JSON API插件，临时禁用这类插件即可恢复原生路由
  2. POST请求被服务器301/302跳转成了GET请求，最终落到了/wp-json根路径。在Postman中打开「Follow redirects」选项，发起请求后查看Postman控制台里的实际请求落地URL，确认和你填写的website/wp-json/wp/v2/users完全一致，没有少后缀、多斜杠的问题。
• 确认认证配置有效
  WordPress原生REST API创建用户需要管理员权限，注意：WordPress原生不自带Basic Auth支持，两种方式可以快速搞定认证：
  1. 如果你用的是WordPress 5.6及以上版本，不用装额外插件，到后台「用户-个人资料」页拉到最下方，生成一组应用密码，用你的管理员用户名+这组应用密码做Basic Auth即可
  2. 低版本WP需要安装官方维护的Basic Auth插件，才能识别请求头里的认证信息
     认证有效性验证方法：先发GET请求到/wp-json/wp/v2/users/me，如果能正常返回你的管理员账号信息，说明认证生效；如果返回401错误，先解决认证问题再测创建用户。
• 修正传参格式
  不要用form-data格式传参，原生WP REST API默认优先接受application/json格式的请求体，在Postman中切到「raw」传参，类型选JSON，传参示例：

  {
    "username": "新用户用户名",
    "email": "新用户绑定邮箱",
    "password": "新用户登录密码",
    "roles": ["subscriber"]
  }
  

  其中roles字段可选，不填默认创建订阅者角色的用户。如果坚持用form-data传参，需要额外在请求头加Content-Type: application/x-www-form-urlencoded，同时注意不要传文件类型的form-data字段，否则会被API拒绝。
• 拦截类规则排查
  以上配置都正确还是失败的话，逐一排查拦截逻辑：
  1. 临时禁用所有安全类、防火墙类插件，这类插件通常会默认拦截REST API的用户创建请求，防止恶意注册
  2. 检查当前启用主题的functions.php文件，看有没有通过rest_authentication_errors钩子禁用REST API、或者限制用户创建接口的代码
  3. 检查服务器层面的WAF规则，看有没有把请求中携带的password、username字段识别为攻击流量做拦截
• 成功判断标准
  请求正常执行时会返回201状态码，响应体包含新用户的id字段，此时再到后台用户列表就能看到对应账号。如果返回4xx状态码，直接看响应体里的message字段，会明确提示错误原因（比如邮箱已被占用、用户名非法、权限不足等），不用盲目排查。

新手常见误区：很多人以为填了Basic Auth的账号密码就会生效，实际上没有对应认证插件/应用密码功能支持的话，WP根本不会解析请求头里的认证信息，会把请求当成游客操作，游客默认没有创建用户的权限，自然不会成功。

内容的提问来源于stack exchange，提问作者Yannis Volos