如何访问WordPress登录REST API实现网站与安卓应用用户认证同步？

核心问题说明 #

你直接读取wp_users表返回密码哈希的实现逻辑从根源上就存在严重安全风险，绝对不可将密码哈希字段暴露在API返回中，很容易被攻击者获取后做撞库破解。你提到的wp-json/user/login/wp-json/user/register不是WordPress REST API的原生路由，访问不到属于正常情况。

可行实现方案 #

方案1：修复你现有的自定义API

• 第一步先把返回结果里的user_pass字段完全删除，杜绝密码哈希泄露风险
• 安卓端登录时通过HTTPS将用户名、明文密码传输到你的自定义接口，服务端调用WordPress原生函数wp_authenticate( $username, $password )做身份校验，校验通过后给客户端返回有效期可控的JWT令牌/自定义会话标识，后续所有业务请求携带该凭证即可，无需再传递密码信息
• 注册逻辑同理，服务端接收用户提交的注册信息后，调用wp_insert_user()函数自动完成密码哈希存储，你无需手动处理密码加密逻辑

方案2：基于WordPress原生生态实现，无需重复造轮子

• 90%的wp-json路由404问题都是固定链接配置错误导致的：先进入WordPress后台「设置-固定链接」，选择任意非「朴素」格式的链接结构，点击保存刷新重写规则即可修复路由访问问题
• 可以安装JWT认证插件扩展REST API能力：启用插件后在wp-config.php中添加以下配置即可获得标准化的登录、注册接口

  // 配置JWT加密密钥，替换为你自己生成的随机复杂字符串
  define('JWT_AUTH_SECRET_KEY', 'your-custom-secret-key-here');
  // 开启跨域支持，适配安卓端请求
  define('JWT_AUTH_CORS_ENABLE', true);
  

• 简单场景可以直接用WordPress 5.6+原生支持的应用密码功能：用户可在个人后台单独生成安卓应用专用的访问密码，API请求通过Basic Auth携带「用户名+应用密码」即可完成身份校验，不会泄露用户的主登录密码

内容的提问来源于stack exchange，提问作者Gus Rasmusen