为wp/v2/users REST端点添加用户元字段的认证问题咨询

兄弟，你的判断完全没错！WordPress REST API对用户元数据的访问管控确实很严格，默认情况下自定义的用户元字段不会直接通过wp/v2/users端点返回，而且必须通过正确的认证和权限配置才能获取到实际数据。下面一步步帮你解决这个问题：

1. 先把自定义用户元字段注册到REST API #

首先你需要显式告诉WordPress，你的自定义用户元字段可以通过REST API访问，同时设置对应的权限校验规则。在主题的functions.php或者自定义插件里添加以下代码：

add_action( 'rest_api_init', 'register_custom_user_meta_for_rest' );
function register_custom_user_meta_for_rest() {
    // 替换成你要添加的用户元字段键名
    $meta_key = 'your_custom_user_meta_key';
    
    register_meta(
        'user',
        $meta_key,
        array(
            'show_in_rest' => true, // 允许该字段在REST API中显示
            'single' => true, // 如果你的元字段是单值的就设为true，多值设为false
            'type' => 'string', // 根据你的元数据类型调整，比如int、bool等
            // 核心：权限校验回调，控制谁能访问这个元字段
            'auth_callback' => function( $allowed, $meta_key, $user_id ) {
                // 规则1：当前用户只能查看自己的元数据（安全且符合常规需求）
                if ( get_current_user_id() === $user_id ) {
                    return true;
                }
                // 规则2：管理员可以查看所有用户的元数据（按需开启）
                if ( current_user_can( 'manage_options' ) ) {
                    return true;
                }
                // 其他情况拒绝访问
                return false;
            }
        )
    );
}

2. 确保认证信息正确传递 #

你提到用了_wpnonce，但要注意几个关键点：

• Nonce的action必须是wp_rest，这是WordPress REST API专用的nonce动作
• 要通过请求头传递nonce（比URL参数更安全）

前端调用示例（JavaScript）： #

首先在主题的functions.php里输出REST nonce到页面头部：

add_action( 'wp_head', 'output_rest_api_nonce' );
function output_rest_api_nonce() {
    echo '<meta name="wp-rest-nonce" content="' . wp_create_nonce( 'wp_rest' ) . '">';
}

然后前端发起请求时带上这个nonce：

// 获取页面中的nonce
const nonce = document.querySelector('meta[name="wp-rest-nonce"]').content;

// 调用wp/v2/users端点（这里以获取当前用户为例，用/users/me更方便）
fetch('/wp-json/wp/v2/users/me', {
    method: 'GET',
    headers: {
        'X-WP-Nonce': nonce,
        'Content-Type': 'application/json'
    }
})
.then(response => response.json())
.then(data => {
    console.log(data); // 现在应该能看到你的自定义元字段了
})
.catch(error => console.error('请求错误:', error));

3. 常见坑点排查 #

• 权限不要太宽松：别把auth_callback直接设为true，这会导致任何未认证的用户都能获取用户元数据，存在安全风险
• 用/users/me代替指定用户ID：如果是获取当前登录用户的信息，/wp/v2/users/me端点不需要额外指定用户ID，权限校验更简单
• 检查用户角色权限：普通用户默认只有edit_user自己的权限，如果你要让普通用户查看其他用户的元数据，需要额外给角色添加权限（不推荐，除非必要）
• 测试时用管理员账号先验证：先登录管理员账号调用API，如果能拿到元数据，再切换到普通用户测试权限规则是否生效

内容的提问来源于stack exchange，提问作者Ynhockey