SOAP请求在SoapUI可用但WordPress插件中无效的问题排查

嘿，我来帮你拆解下这个问题！你遇到的无效凭证错误，大概率和命名空间前缀关系不大——毕竟ns1和api只是命名空间的别名，背后对应的URI都是http://www.beautyfort.com/api/，标准SOAP服务会忽略前缀差异。核心问题应该出在凭证生成的逻辑上，咱们一步步来排查：

1. 先确认WS-Security密码哈希的生成规则 #

这类API的AuthHeader基本遵循WS-Security UsernameToken规范，密码字段的正确生成逻辑通常是：

Password = Base64编码(SHA-1哈希(原始Nonce字节 + Created时间字符串 + 真实API密码))

你需要检查代码里的$soapPassword是不是按照这个规则生成的，常见的错误有：

• 用Base64编码后的Nonce直接拼接（而不是解码后的原始字节）
• 哈希时返回的是十六进制字符串，而非原始二进制数据（PHP的sha1()函数默认返回十六进制，需要加第二个参数true返回原始字节）
• Created时间的格式或时区不对（必须是UTC时区的ISO 8601格式，比如2019-02-09T10:13:51.000Z）

举个正确的生成示例：

// 生成16字节的随机原始Nonce，再Base64编码用于请求
$raw_nonce = openssl_random_pseudo_bytes(16);
$soapNonce = base64_encode($raw_nonce);

// 获取UTC标准时间，精确到毫秒
$soapDateTime = gmdate('Y-m-d\TH:i:s.000\Z');

// 你的真实API密码
$actual_api_password = "your_real_password";

// 计算符合要求的Password字段
$soapPassword = base64_encode(sha1($raw_nonce . $soapDateTime . $actual_api_password, true));

2. 确保Nonce、Created、Password三者严格同步 #

Nonce是一次性随机值，必须和Created时间、Password哈希严格对应——如果生成Nonce后过了几秒才生成Created时间，或者哈希时用了不同的参数，都会导致凭证无效。建议把这三个值的生成放在同一段代码里，避免时间差或参数不一致。

3. 尝试对齐SoapUI的请求前缀（可选） #

虽然理论上前缀不影响，但有些老旧的SOAP服务对前缀有执念。你可以修改SoapHeader的构造，显式指定前缀为api，和SoapUI的请求保持一致：

// 第四个参数false是mustUnderstand，第五个参数指定前缀为api
$header = new SoapHeader('http://www.beautyfort.com/api/', 'AuthHeader', $auth, false, 'api');

4. 用SoapUI的有效凭证测试代码 #

你可以在SoapUI里复制有效请求的Nonce、Created、Password值，手动传入你的soapRequest函数，看看请求是否成功：

• 如果成功：说明你的凭证生成逻辑有问题，回到第一步修正
• 如果还是失败：再排查SOAP请求的结构差异（比如可选字段是否真的不影响，或者SoapClient的配置是否有遗漏）

另外，你可以在代码里打印出$raw_nonce、$soapDateTime、$actual_api_password的拼接值，和SoapUI里的对应值对比哈希结果，就能快速定位问题所在。

内容的提问来源于stack exchange，提问作者Joe Carré