从REST API获取的Nonce无效，SPA应如何正确身份验证？

先给通过Google搜到这里的朋友敲个警钟：除非你对WordPress身份验证的底层逻辑门儿清，否则千万别直接从REST API获取Nonce！WordPress REST API里基于Cookie的身份验证机制，本来就是给插件、主题这类和后端深度集成的场景设计的，单页应用（SPA）根本不适用这套方案。

你遇到的nonce无效、和wp_localize_script生成的不一致的问题，根源其实出在文档和技术选型的矛盾上：官方文档对SPA场景的身份验证方式说明得不够明确，很多人会误以为JWT是Web应用的完美选择，但实际上JWT并不太适配常规Web应用的使用场景；而真正适合SPA的OAuth认证，实现难度又比Cookie认证高很多，这就导致不少开发者会抱着侥幸心理走捷径，结果就踩了nonce不一致的坑。

最后给你分场景梳理下正确的做法：

• 如果是开发插件或主题：放心用wp_localize_script生成nonce，搭配Cookie认证完全没问题，这也是官方推荐的后端集成方式。
• 如果是开发单页应用（SPA）：别再纠结nonce的事儿了，直接转向OAuth认证吧。虽然配置过程繁琐一点，但这才是符合SPA架构的安全、可靠的身份验证方案。

内容的提问来源于stack exchange，提问作者Christian