如何为WordPress自定义REST API添加WooCommerce风格的基础认证

实现核心思路 #

不需要从零编写consumer key/secret的校验逻辑，WooCommerce已经将全量REST认证规则封装为内置类，自定义端点只需在路由注册阶段挂载对应的权限校验钩子，即可和WooCommerce原生API使用完全一致的认证规则。

代码改造方案 #

对原有的路由注册逻辑做两处调整：

• 补充WordPress REST强制要求的permission_callback参数（原代码缺失该参数，本身就会触发REST默认的权限拦截）
• 在权限回调中直接调用WooCommerce内置的认证校验方法，不把认证逻辑嵌入业务回调

完整可用代码：

// 注册REST API路由
add_action('rest_api_init', function () {
    register_rest_route('getproductdata', '/(?P<id>\d+)', [
        'methods' => 'GET',
        'callback' => 'getProductData',
        // 核心：挂载WooCommerce认证校验作为权限判断
        'permission_callback' => function($request) {
            // 兼容判断WooCommerce认证模块是否正常加载
            if (! class_exists('WC_API_Authentication')) {
                return new WP_Error('woocommerce_auth_disabled', 'WooCommerce认证模块未正常加载', [
                    'status' => 403
                ]);
            }
            $auth_handler = new WC_API_Authentication();
            // 直接调用WooCommerce内置的认证校验方法，和原生端点逻辑完全一致
            return $auth_handler->validate_authentication($request);
        }
    ]);
});

function getProductData($request) {
    // 能走到这里说明认证已经通过，直接执行业务逻辑即可
    return rest_ensure_response([
        'status' => 'success',
        'message' => 'inside my api',
        'target_subscription_id' => $request->get_param('id')
    ]);
}

认证规则说明 #

改造完成后，该端点的校验逻辑和WooCommerce其他原生端点完全一致：

• 支持两种常见的认证传参方式：
  • URL查询参数直接携带consumer_key、consumer_secret
  • 标准HTTP Basic Auth请求头传递认证信息（username字段填consumer key，password字段填consumer secret）
• 权限体系完全复用WooCommerce后台的REST密钥管理，在后台生成的有效密钥可直接调用该自定义端点，无需额外配置
• 未通过认证的请求会被直接拦截返回403权限错误，不会触发后续业务逻辑执行，从根源上避免未授权数据泄露

实操注意事项 #

• 不要将认证逻辑写在业务回调函数getProductData内部，WordPress REST的执行流程是先校验权限、通过后才执行业务回调，写在权限回调里的校验逻辑能从源头拦截未授权请求
• 生产环境不要使用die()直接输出内容，需通过rest_ensure_response()封装返回值，保证响应格式符合REST规范，正确设置JSON响应头
• 若服务器环境开启了Apache/Nginx层的自动Basic Auth校验，需调整服务器配置，避免层间认证逻辑覆盖WooCommerce的校验流程

内容的提问来源于stack exchange，提问作者Mittul At TechnoBrave