WordPress中为未登录用户使用nonce是否符合登录注册场景安全最佳实践？

核心结论 #

给未登录用户的登录、注册Ajax接口加nonce校验是更安全的最佳实践，你目前仅注册加校验、登录不加的处理逻辑存在安全风险，建议补齐。

1. 为什么登录流程不加nonce不合理 #

登录接口同样存在CSRF攻击风险：攻击者可以构造恶意提交请求，诱导用户在不知情的情况下用攻击者预设的账号登录你的站点。如果用户后续在该账号下填写了收货地址、支付信息等敏感内容，攻击者直接登录对应账号即可窃取数据，风险真实存在。

2. WordPress核心和WooCommerce实现差异的原因 #

• WordPress核心wp-login.php没有加nonce属于历史遗留问题，这套逻辑诞生的时间远早于WordPress完善未登录用户nonce生成校验机制的时间，且核心的表单提交默认做了referer/origin校验兜底，所以一直没有大改。
• WooCommerce作为电商类产品，对账户安全的要求远高于通用站点场景，主动补全了登录、注册的nonce校验，完全符合现代Web安全规范，是更推荐的最佳实践。

3. 未登录用户使用nonce的实际意义 #

你提到的Automattic VIP的规则是完全合理的：

在VIP Developer Workshop的一位Automattician告诉我，所有ajax请求都必须使用安全nonce，即便是面向未登录用户、不会触发数据库或文件系统修改的请求也不例外。

WordPress 4.0及之后的版本已经原生支持未登录用户的nonce生成和校验：未登录用户的nonce会基于用户IP、UA、站点密钥等维度生成，每个用户的有效nonce唯一，不会出现全局通用的情况，作用主要有两个：

• 防CSRF攻击：攻击者无法获取目标用户的有效nonce，没法构造合法的跨站请求
• 抬高暴力破解门槛：攻击者无法批量获取有效nonce，大幅提升爆破登录、注册接口的成本

加一层nonce校验几乎没有额外开发成本，安全收益极高。

实现建议 #

直接用WordPress原生函数实现即可，不需要额外适配未登录用户：

• 前端生成nonce：<?php echo wp_create_nonce( 'ajax_auth_action' ); ?>，放在表单隐藏域或者Ajax请求参数里
• 后端校验：在登录、注册的Ajax处理逻辑开头加校验，不通过直接返回错误：

if ( ! wp_verify_nonce( $_POST['nonce'], 'ajax_auth_action' ) ) {
    wp_send_json_error( '非法请求' );
}

内容的提问来源于stack exchange，提问作者Ratsbew