WordPress迁移后AJAX请求报rest_cookie_invalid_nonce 403错误如何解决

数据老陈

2026-10-6

问题原因

WP Nonce的校验逻辑和站点域名、cookie上下文强绑定，开发环境正常仅正式域名报错，核心是nonce生成和校验时的上下文不匹配，常见原因如下：

基础域名配置不匹配：WordPress生成nonce时会绑定当前站点的WP_HOME、WP_SITEURL以及COOKIE_DOMAIN参数，迁移后如果wp-config.php里的上述配置没有更新，或者后台「设置」-「常规」里的站点地址和实际访问的正式域名（包含http/https、是否带www前缀）不一致，就会触发cookie校验失败。
缓存残留旧nonce：如果站点开启了页面缓存、对象缓存，迁移后旧域名下生成的nonce缓存没有被清空，用户访问页面时拿到的是旧域名对应的无效nonce，提交到新域名后台就会校验失败。
跨域请求场景：如果AJAX请求的接口域名、协议和当前页面访问的地址不一致（比如页面是www前缀，接口是无www前缀，或者页面是http、接口是https），属于跨域场景，WordPress默认不会携带对应域名的校验cookie，也会触发该报错。
反向代理/CDN配置错误：如果站点用了CDN或者反向代理，没有正确把原始请求的域名、协议透传给WordPress，会导致WordPress判定当前请求还是旧域名，校验不通过。

解决方法

校准基础域名配置
检查wp-config.php里的核心配置，确保和实际访问的正式域名完全一致：

// 替换为你的实际正式域名，http/https、前缀要和访问地址完全统一
define( 'WP_HOME', 'https://example.com' );
define( 'WP_SITEURL', 'https://example.com' );
// 如果有配置COOKIE_DOMAIN同步更新，无特殊需求也可以直接删除该行让WordPress自动适配
define( 'COOKIE_DOMAIN', 'example.com' );

清空全站缓存
清理所有页面缓存、浏览器本地缓存、Redis/Memcached类的对象缓存，确保用户拿到的页面都是新域名下新生成的有效nonce。
统一请求上下文+补充跨域配置
所有AJAX请求的接口地址要和当前页面访问的域名、协议完全一致，避免跨域；如果确实需要跨域请求，在主题functions.php或自定义插件中添加以下配置允许携带cookie：
```
add_action( 'rest_pre_serve_request', function() {
    header( 'Access-Control-Allow-Credentials: true' );
    header( 'Access-Control-Allow-Origin: ' . get_http_origin() );
} );
```

修复反向代理透传配置
如果使用CDN或反向代理，在wp-config.php中添加以下配置，让WordPress能正确识别用户实际访问的协议和域名：

if ( isset( $_SERVER['HTTP_X_FORWARDED_PROTO'] ) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https' ) {
    $_SERVER['HTTPS'] = 'on';
}
if ( isset( $_SERVER['HTTP_X_FORWARDED_HOST'] ) ) {
    $_SERVER['HTTP_HOST'] = $_SERVER['HTTP_X_FORWARDED_HOST'];
}

内容的提问来源于stack exchange，提问作者Raffaele Colleo