WordPress 4.9.5 REST API OAuth授权失效问题求助

我帮你梳理几个排查和解决的方向，针对你用的WordPress 4.9.5、REST API v2-beta15以及OAuth插件的情况：

1. 先确认OAuth插件的核心配置是否到位 #

• 首先检查你在插件后台创建的**客户端凭证（消费者密钥+消费者秘密）**是否有效，并且Android端请求时是否正确携带了这些参数。很多时候授权失效都是因为客户端没正确签名请求，或者凭证填错了。
• 找到插件设置里的Force SSL for OAuth Requests选项，如果你的网站用了HTTPS，一定要开启它，避免请求被拦截或篡改导致验证失败。
• 重点找类似Restrict REST API access to OAuth authenticated requests的全局限制开关（不同插件版本表述可能略有不同），这个是强制所有API必须走OAuth验证的关键，要是没开，未授权用户自然能访问公共端点。

2. 覆盖WordPress REST API的默认开放权限 #

WordPress 4.9.5的REST API v2-beta15默认对一些公共端点（比如文章列表/wp-json/wp/v2/posts）是开放的，哪怕没授权也能访问。如果你的需求是所有API都需要授权，可以通过自定义代码强制拦截：
把这段代码添加到主题的functions.php文件，或者创建一个小插件：

add_filter( 'rest_authentication_errors', 'force_oauth_for_all_rest_endpoints' );
function force_oauth_for_all_rest_endpoints( $result ) {
    // 如果已经有错误结果，直接返回
    if ( ! empty( $result ) ) {
        return $result;
    }
    // 检查是否通过OAuth验证：已登录且携带了Authorization请求头
    if ( ! is_user_logged_in() || ! isset( $_SERVER['HTTP_AUTHORIZATION'] ) ) {
        return new WP_Error(
            'rest_not_authenticated',
            __( 'Access denied. You must authenticate via OAuth to use this API.' ),
            array( 'status' => 401 )
        );
    }
    return $result;
}

要是有个别公共端点需要保留开放，你可以在函数里加条件判断排除它们，比如判断当前请求的端点路径。

3. 排查插件和主题的兼容性冲突 #

• 先临时禁用其他所有插件，只保留REST API和OAuth插件，测试是否还能未授权访问。如果问题消失，再逐个启用插件排查冲突——有些缓存、安全类插件可能会干扰OAuth的验证流程。
• 临时切换到WordPress默认主题（比如Twenty Seventeen）测试，看看是不是当前主题的自定义代码覆盖了OAuth插件的权限设置。
• 确认你用的OAuth插件版本是否兼容WordPress 4.9.5。有些新版本插件可能不再支持旧版WP，建议找插件的历史版本（比如从插件官网的版本归档里下载），确保版本匹配。

4. 验证Android端的请求签名是否正确 #

OAuth 1.0a的请求对签名要求很严格，很多时候服务器端配置没问题，是客户端代码出错了：

• 确保Android端用的OAuth库正确实现了HMAC-SHA1签名算法，并且请求中包含了所有必要参数：oauth_consumer_key、oauth_nonce、oauth_signature、oauth_signature_method、oauth_timestamp、oauth_version。
• 用Postman手动测试：创建一个OAuth 1.0请求，填入你的消费者密钥和秘密，发送到需要验证的端点。如果Postman能正确返回数据（未授权时返回401），那问题在Android端代码；如果Postman也能直接访问，那还是服务器端配置的问题。

5. 检查服务器环境的关键设置 #

• 确保服务器的mod_rewrite模块已启用，并且WordPress的固定链接设置为非默认模式（比如"文章名称"）——默认的固定链接可能导致REST API端点解析异常，让验证逻辑失效。
• 有些主机商会默认移除Authorization请求头，导致OAuth插件无法获取验证信息。可以在.htaccess文件中添加这段代码：

RewriteEngine On
RewriteCond %{HTTP:Authorization} ^(.*)
RewriteRule ^(.*) - [E=HTTP_AUTHORIZATION:%1]

或者在wp-config.php中添加：

// 强制传递Authorization头
if ( isset( $_SERVER['HTTP_AUTHORIZATION'] ) ) {
    $_SERVER['PHP_AUTH_USER'] = $_SERVER['HTTP_AUTHORIZATION'];
}

内容的提问来源于stack exchange，提问作者Mahdi