如何在WP REST API自定义端点中验证Header基本认证有效性

要给你这个自定义的WP REST API端点加上Basic认证验证，最规范的方式是利用WP REST API的**权限回调（permission_callback）**机制，而不是直接在业务回调里硬编码认证逻辑。下面我一步步给你拆解实现方法：

1. 先理解Basic认证的核心逻辑 #

Basic认证的请求头格式是 Authorization: Basic <base64编码的用户名:密码>，所以我们需要：

• 从请求头中提取这个字段
• 解码base64字符串，拆分出用户名和密码
• 验证这个用户名和密码是否对应WordPress的有效用户

2. 编写认证验证函数 #

先写一个专门处理Basic认证验证的函数，我们叫它my_basic_auth_validation：

function my_basic_auth_validation($request) {
    // 检查请求头是否包含Authorization字段
    if (!$request->get_header('Authorization')) {
        return new WP_Error(
            'missing_auth',
            'Authorization header is required',
            array('status' => 401)
        );
    }

    // 提取Authorization头中的base64部分
    $auth_header = $request->get_header('Authorization');
    list($auth_type, $auth_value) = explode(' ', $auth_header, 2);
    if (strtolower($auth_type) !== 'basic') {
        return new WP_Error(
            'invalid_auth_type',
            'Only Basic authentication is supported',
            array('status' => 401)
        );
    }

    // 解码base64字符串，拆分用户名和密码
    $decoded = base64_decode($auth_value);
    if (!$decoded) {
        return new WP_Error(
            'invalid_auth_value',
            'Invalid base64 encoded credentials',
            array('status' => 401)
        );
    }
    list($username, $password) = explode(':', $decoded, 2);

    // 使用WordPress内置函数验证用户
    $user = wp_authenticate($username, $password);
    if (is_wp_error($user)) {
        return new WP_Error(
            'invalid_credentials',
            'Invalid username or password',
            array('status' => 401)
        );
    }

    // 验证通过，设置当前用户（可选，但推荐，方便后续业务逻辑使用当前用户信息）
    wp_set_current_user($user->ID);
    return true;
}

3. 把权限回调添加到你的路由中 #

修改你原来的register_rest_route代码，加上permission_callback参数，指向我们刚才写的验证函数：

add_action( 'rest_api_init', function () {
    register_rest_route( 'myplugin/v1', '/author/(?P<id>\d+)', array(
        'methods' => 'GET',
        'callback' => 'my_awesome_func',
        // 新增权限回调
        'permission_callback' => 'my_basic_auth_validation',
    ) );
} );

一些额外注意事项 #

• HTTP状态码：当验证失败时，我们返回了401 Unauthorized状态码，这是符合HTTP规范的，客户端可以根据这个状态码做出相应处理。
• 服务器配置：有些主机可能会默认拦截Authorization请求头，导致你的代码无法获取到这个字段。如果遇到这种情况，可以在你的.htaccess文件中添加以下配置：

  RewriteEngine On
  RewriteCond %{HTTP:Authorization} ^(.*)
  RewriteRule ^(.*) - [E=HTTP_AUTHORIZATION:%1]
  

• 安全提示：Basic认证是明文传输（虽然经过base64编码，但base64不是加密），所以一定要在HTTPS环境下使用，避免 credentials 被窃取。

内容的提问来源于stack exchange，提问作者Yamona