如何在Android WebView中实现WordPress的Facebook及自定义双认证

这确实是个很常见的跨系统认证场景，尤其是当你有多个服务共享用户体系的时候。针对你提到的Facebook登录用户没有WordPress密码的问题，我有几个可行的方案，你可以根据自己的技术栈复杂度来选择：

方案一：基于JWT的统一认证（推荐） #

这个方案能让自定义注册和Facebook登录的用户用同一套认证逻辑，完全脱离WordPress的密码体系限制：

1. 统一JWT密钥与用户映射

   • 在你的Django REST后端和WordPress中使用相同的JWT密钥。当用户通过自定义注册或Facebook登录成功后，Django后端生成包含关联WordPress用户ID（或唯一邮箱标识）的JWT令牌，返回给Android应用。
   • 对于Facebook登录的用户，Django后端需要先自动在WordPress中创建对应用户：用Facebook邮箱作为用户名，生成一个随机密码存库（用户永远不会用到这个密码），并记录关联的WP用户ID。

2. WordPress端配置JWT验证

   • 给WordPress添加JWT验证逻辑（可以借助firebase/php-jwt库实现），在init钩子中拦截请求并验证令牌：

     add_action('init', function() {
         if (!is_user_logged_in() && isset($_SERVER['HTTP_AUTHORIZATION'])) {
             list($type, $token) = explode(' ', $_SERVER['HTTP_AUTHORIZATION'], 2);
             if (strtolower($type) === 'bearer') {
                 $secret = '你的统一JWT密钥';
                 try {
                     $decoded = \Firebase\JWT\JWT::decode($token, $secret, ['HS256']);
                     $user = get_user_by('id', $decoded->wp_user_id);
                     if ($user) {
                         // 自动为用户设置WP认证Cookie
                         wp_set_auth_cookie($user->ID, true);
                     }
                 } catch (Exception $e) {
                     // 令牌验证失败，不做处理
                 }
             }
         }
     });
     

3. Android WebView传递JWT

   • 在加载WordPress页面时，给WebView的请求添加Authorization头：

     webView.webViewClient = object : WebViewClient() {
         override fun shouldInterceptRequest(
             view: WebView?,
             request: WebResourceRequest?
         ): WebResourceResponse? {
             request?.let {
                 val modifiedHeaders = it.requestHeaders.toMutableMap().apply {
                     put("Authorization", "Bearer ${本地存储的JWT令牌}")
                 }
                 val newRequest = it.buildUpon().apply {
                     modifiedHeaders.forEach { (key, value) -> addHeader(key, value) }
                 }.build()
                 return super.shouldInterceptRequest(view, newRequest)
             }
             return super.shouldInterceptRequest(view, request)
         }
     }
     

方案二：临时一次性令牌方案 #

如果不想引入JWT体系，这个轻量化方案专门解决Facebook登录用户的认证问题：

1. 生成临时令牌

   • 当Android用户通过Facebook登录成功后，Django后端生成一个32位随机临时令牌，关联对应WP用户ID并存入数据库，设置5分钟过期时间。
   • Android应用将令牌作为URL参数传递给WP页面，比如：https://你的WP域名/target-page?token=xxx

2. WordPress端验证令牌并登录

   • 在template_redirect钩子中验证令牌有效性，验证通过后自动登录用户：

     add_action('template_redirect', function() {
         if (!is_user_logged_in() && isset($_GET['token'])) {
             $token = sanitize_text_field($_GET['token']);
             // 调用Django API验证令牌合法性
             $response = wp_remote_get("https://你的Django域名/api/validate-token?token={$token}");
             if (is_wp_error($response)) return;
             $data = json_decode(wp_remote_retrieve_body($response), true);
             if ($data['valid'] && isset($data['wp_user_id'])) {
                 $user = get_user_by('id', $data['wp_user_id']);
                 if ($user) {
                     wp_set_auth_cookie($user->ID, true);
                     // 重定向到原页面并移除token参数
                     wp_redirect(remove_query_arg('token'));
                     exit;
                 }
             }
         }
     });
     

3. Android端处理

   • 确保令牌仅能使用一次，Django端验证成功后立即标记令牌为已失效。

额外注意事项 #

• WebView Cookie同步：启用WebView的Cookie支持，确保WP认证Cookie能被正确存储：

  CookieManager.getInstance().apply {
      setAcceptCookie(true)
      setAcceptThirdPartyCookies(webView, true)
  }
  

• 用户信息同步：对于自定义注册用户，通过Django信号触发WordPress用户信息更新API，保持两端用户数据一致（如邮箱、昵称）。

内容的提问来源于stack exchange，提问作者alxrcs