基于WordPress登录Cookie同步自定义可脚本Cookie过期时间的疑问

嘿，我来帮你搞定这个Cookie同步的问题！你的核心需求是让自定义Cookie完全镜像WordPress默认Auth Cookie的过期逻辑，包括12小时宽限期、支持“记住我”设置，并且基于可过滤的过期时间而非硬编码。下面是一步步的解决方案：

为什么之前的Cookie过期时间不一致？ #

你观察得没错！WordPress在设置“记住我”的Auth Cookie时，会给过期时间额外添加12小时的宽限期——代码里的$expire = $expiration + (12 * HOUR_IN_SECONDS)就是干这个的，目的是在Cookie过期后给用户一个缓冲时间重新验证身份，而不是直接踢下线。你之前的代码只加了14天，没包含这个宽限期，所以才会比默认Cookie早12小时过期。

最优解决方案：复用WordPress的Cookie逻辑钩子 #

与其自己计算过期时间，不如直接挂钩WordPress设置Auth Cookie的原生动作，这样能100%同步它的所有逻辑（包括宽限期、“记住我”开关、过滤后的过期时间）。替换你原来的wp_login和wp_logout代码，用下面的实现：

1. 登录时设置自定义Cookie #

add_action('set_logged_in_cookie', 'lal_set_custom_logged_in_cookie', 10, 6);
function lal_set_custom_logged_in_cookie($logged_in_cookie, $expire, $expiration, $user_id, $scheme, $token) {
    // 直接使用WordPress计算好的$expire参数，自动包含宽限期或会话过期（不记住我）
    $secure = ('logged_in' === $scheme) ? is_ssl() && 'https' === parse_url(get_option('home'), PHP_URL_SCHEME) : false;
    
    setcookie(
        'wp_user_logged_in',
        1,
        $expire,
        COOKIEPATH, // 和WordPress默认Cookie路径一致
        COOKIE_DOMAIN, // 和WordPress默认Cookie域名一致
        $secure, // 同步安全Cookie设置
        true // 启用HttpOnly，提升安全性
    );
    
    // 同步当前请求的$_COOKIE，避免即时获取不到
    $_COOKIE['wp_user_logged_in'] = 1;
}

2. 注销时清除自定义Cookie #

add_action('clear_auth_cookie', 'lal_clear_custom_logged_in_cookie');
function lal_clear_custom_logged_in_cookie() {
    unset($_COOKIE['wp_user_logged_in']);
    
    // 用和默认Cookie一致的路径/域名清除自定义Cookie
    setcookie(
        'wp_user_logged_in',
        '',
        time() - 31536000, // 设置为过去的时间立即失效
        COOKIEPATH,
        COOKIE_DOMAIN
    );
}

方案优势详解 #

• 完全同步过期逻辑：set_logged_in_cookie钩子传递的$expire参数，已经包含了WordPress的12小时宽限期（当“记住我”勾选时），或者设为0（当“记住我”未勾选时，Cookie随浏览器会话过期）。
• 支持过滤后的过期时间：$expiration参数是经过auth_cookie_expiration过滤器处理后的结果，任何通过该过滤器修改的过期时间都会自动同步到你的自定义Cookie。
• 兼容多站点/特殊配置：使用WordPress内置的COOKIEPATH和COOKIE_DOMAIN常量，确保Cookie路径和域名与默认Auth Cookie完全一致，避免在多站点或自定义域名环境下出问题。
• 安全同步：同步了WordPress的安全Cookie设置（$secure参数），并且启用了HttpOnly属性，提升Cookie安全性。

额外提示 #

如果你需要对自定义Cookie做更精细的控制（比如根据用户角色调整），可以在lal_set_custom_logged_in_cookie函数里添加判断逻辑，比如：

$user = get_user_by('id', $user_id);
if (in_array('administrator', $user->roles)) {
    // 仅给管理员设置自定义Cookie
    setcookie(...);
}

内容的提问来源于stack exchange，提问作者Ryszard Jędraszyk