Android应用对接WordPress登录：加密密码验证方法咨询

嗨，这个问题我帮不少开发者解决过——WordPress默认用的是PHPass单向哈希加密，直接在Android端解密肯定没戏（毕竟单向哈希本来就不可逆）。下面给你几个靠谱的实现思路，按推荐程度排序：

方案1：用WordPress REST API + JWT（最标准、最安全） #

这是我最推荐的做法，完全不用自己碰加密逻辑，靠WordPress生态的成熟工具就能搞定：

• 先给你的WordPress装个「JWT Authentication for WP REST API」插件，然后在wp-config.php里配置好密钥（插件文档里有详细步骤，就是加两行代码）
• 在Android端，发送一个POST请求到你的域名/wp-json/jwt-auth/v1/token，请求参数带上username和用户输入的明文password
• 如果账号密码正确，服务器会返回一个JWT Token，之后你的Android应用所有需要权限的请求，都在请求头里加Authorization: Bearer {拿到的Token}就行
• 全程不用管密码加密那点事，WordPress服务器会自动用内置的校验逻辑比对密码，安全又省心

方案2：自定义WordPress API端点（不想用插件的话） #

如果你不想依赖第三方插件，可以自己在WordPress里写个简单的验证接口：

• 打开主题的functions.php（或者自己写个小插件），注册一个自定义REST路由，比如/wp-json/custom/v1/login
• 在这个路由的回调函数里，接收客户端传来的username和password，直接调用WordPress内置的wp_check_password()函数——这个函数会自动用PHPass算法把明文密码和数据库里的哈希值比对，返回布尔值
• 验证通过后，你可以返回一个自定义的登录状态标识，或者生成一个简单的token给Android端
• Android端只需要POST这个自定义接口，传用户名密码就行，逻辑简单可控

方案3：在Android端模拟WordPress加密逻辑（不推荐，应急用） #

这个方案我一般不建议，除非你有特殊原因不能改WordPress端：

• WordPress用的是PHPass算法，你可以找对应的Java实现（比如PHPassJava库）
• 先通过一个公开的API（比如你自己写的）根据用户名获取数据库里存储的哈希密码
• 在Android端用PHPassJava把用户输入的明文密码加密，然后和从服务器拿到的哈希值比对
• 缺点很明显：哈希密码在传输过程中有泄露风险，而且如果WordPress升级了加密算法（比如以后换成Argon2），你的Android端也要跟着改，维护成本极高

重要注意事项 #

• 所有接口请求必须用HTTPS，绝对不能用HTTP，不然密码在传输过程中很容易被窃取
• 绝对不能让Android应用直接访问数据库，所有数据交互必须通过服务器端接口中转
• 登录成功后，尽量用Token（比如JWT）来管理会话，别用传统的Session Cookie，更适配移动端的无状态请求

内容的提问来源于stack exchange，提问作者IT Learner