.NET Core站点跳转至WordPress页面并传递登录凭证实现自动登录

嘿，这个跨站自动登录的需求我之前帮不少开发者处理过，咱们一步步拆解来看可行的解决方案：

因为两个站点分属不同技术栈（.NET Core + WordPress），大概率还是不同域名，所以没法直接共享Session。核心是要生成一个安全、可验证、一次性的身份凭证，从站点1传递到站点2，站点2验证凭证后自动完成用户登录。

我整理了几种从易到难的方案，你可以根据自己的场景选择：

方案1：REST API + 一次性签名令牌（最直接易实现） #

完全可以用REST API配合实现，甚至不需要复杂的API交互，核心是用签名令牌做身份凭证。具体流程是：

1. 站点1（.NET Core）生成带签名的JWT令牌，包含用户唯一标识（比如用户名/邮箱，要和WordPress里的完全一致），并设置短过期时间（比如5分钟）
2. 站点1跳转时把令牌作为URL参数传到WordPress的自定义登录端点
3. WordPress验证令牌的合法性，通过后自动登录用户

.NET Core端生成令牌&跳转示例 #

用JWT来做令牌，自带签名验证，非常方便：

using System.IdentityModel.Tokens.Jwt;
using System.Security.Claims;
using System.Text;
using Microsoft.IdentityModel.Tokens;

// 生成跨站登录令牌的方法
public string GenerateCrossSiteLoginToken(string username)
{
    // 注意：密钥要和WordPress端完全一致，建议存在配置文件里，别硬编码！
    var secretKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your-shared-strong-secret-key"));
    var signingCredentials = new SigningCredentials(secretKey, SecurityAlgorithms.HmacSha256);

    // 令牌里的声明：包含用户名、令牌类型、过期时间
    var claims = new[]
    {
        new Claim(ClaimTypes.Name, username),
        new Claim("token_type", "cross_site_login"),
        new Claim("exp", DateTimeOffset.UtcNow.AddMinutes(5).ToUnixTimeSeconds().ToString())
    };

    var token = new JwtSecurityToken(
        issuer: "https://your-dotnet-site.com", // 站点1域名
        audience: "https://your-wordpress-site.com", // 站点2域名
        claims: claims,
        expires: DateTime.UtcNow.AddMinutes(5),
        signingCredentials: signingCredentials
    );

    return new JwtSecurityTokenHandler().WriteToken(token);
}

// 处理跳转的Action
public IActionResult RedirectToWordpressTargetPage()
{
    // 获取当前已登录用户的用户名（假设站点1用ASP.NET Core Identity）
    var currentUsername = User.Identity?.Name;
    if (string.IsNullOrEmpty(currentUsername))
    {
        // 用户未登录，跳转到站点1登录页
        return RedirectToAction("Login", "Account");
    }

    var loginToken = GenerateCrossSiteLoginToken(currentUsername);
    // 构造跳转URL，带上令牌参数（用Uri.EscapeDataString避免特殊字符问题）
    var redirectUrl = $"https://your-wordpress-site.com/cross-site-login?token={Uri.EscapeDataString(loginToken)}";
    return Redirect(redirectUrl);
}

WordPress端验证令牌&自动登录示例 #

在WordPress主题的functions.php里添加自定义端点和验证逻辑：

// 注册自定义的跨站登录端点
add_action('init', function() {
    add_rewrite_rule('^cross-site-login/?', 'index.php?cross_site_login=1', 'top');
});

// 让WordPress识别自定义查询变量
add_filter('query_vars', function($vars) {
    $vars[] = 'cross_site_login';
    return $vars;
});

// 处理跨站登录逻辑
add_action('template_redirect', function() {
    if (get_query_var('cross_site_login')) {
        $token = isset($_GET['token']) ? $_GET['token'] : '';
        if (empty($token)) {
            // 没有令牌，跳转到WordPress登录页
            wp_redirect(home_url('/wp-login.php'));
            exit;
        }

        // 验证JWT令牌，需要先安装firebase/php-jwt库（用Composer：composer require firebase/php-jwt）
        require_once get_stylesheet_directory() . '/vendor/autoload.php';
        use Firebase\JWT\JWT;
        use Firebase\JWT\Key;

        $secretKey = 'your-shared-strong-secret-key'; // 和.NET Core端一致
        try {
            $decoded = JWT::decode($token, new Key($secretKey, 'HS256'));

            // 验证令牌类型和过期时间
            if ($decoded->token_type !== 'cross_site_login' || time() > $decoded->exp) {
                throw new Exception('令牌无效或已过期');
            }

            // 根据用户名查找WordPress用户（如果用邮箱的话，把'login'改成'email'）
            $user = get_user_by('login', $decoded->name);
            if ($user) {
                // 自动登录用户：设置当前用户和登录Cookie
                wp_set_current_user($user->ID);
                wp_set_auth_cookie($user->ID, true); // 第二个参数表示是否记住登录

                // 跳转到你指定的页面，比如用户中心或首页
                wp_redirect(home_url('/your-target-page/'));
                exit;
            } else {
                throw new Exception('未找到对应用户');
            }
        } catch (Exception $e) {
            // 验证失败，跳转到登录页并提示错误
            wp_redirect(home_url('/wp-login.php?error=invalid_cross_token&message=' . urlencode($e->getMessage())));
            exit;
        }
    }
});

⚠️ 注意：添加代码后，需要去WordPress后台的「设置→固定链接」随便选一个选项保存一下，让自定义端点生效；另外一定要用HTTPS传输，避免令牌被明文劫持。

方案2：OAuth2.0协议（更规范的长期集成方案） #

如果两个站点以后要做更多深度集成，OAuth2是更标准的选择：

• 把站点1作为OAuth2授权服务器，站点2作为客户端
• 用户在站点1登录后，跳转到站点2时发起授权请求，站点1返回授权码，站点2用授权码换取访问令牌，再通过令牌获取用户信息，最后自动登录
• 优点：安全、符合行业标准，支持多种授权模式；缺点：配置相对复杂，需要改动两个站点的身份验证逻辑

方案3：共享加密Cookie（仅限同主域名子站点） #

如果两个站点是同主域名的子站点（比如site1.yourdomain.com和site2.yourdomain.com），可以用共享Cookie的方式：

• 站点1设置一个加密Cookie，域名设为.yourdomain.com，包含用户标识
• 站点2读取这个Cookie，验证加密信息后自动登录用户
• 但如果是完全不同的域名，这个方案不可行，因为浏览器同源策略会限制跨域Cookie读取

方案4：WordPress原生REST API配合会话创建 #

WordPress本身有REST API，你可以自定义一个API端点来处理跨站登录：

• 站点1调用WordPress的自定义REST API，传入加密后的用户凭证（或之前的JWT令牌）
• WordPress验证后返回登录会话的Cookie，站点1跳转时把Cookie带到站点2
• 缺点：跨域下设置Cookie需要配置SameSite属性，还要在WordPress里开启CORS允许站点1的域名，相对麻烦

1. 安全性优先：令牌必须签名，且设置短过期时间，防止被劫持复用；所有传输一定要用HTTPS
2. 用户数据一致性：两个站点的用户标识（用户名/邮箱）必须完全一致，否则验证时会找不到用户，建议做定时同步任务保持数据一致
3. 令牌一次性使用：可以在站点1生成令牌时记录到数据库，验证成功后标记为已使用，防止重复利用（可选，进一步提升安全）

内容的提问来源于stack exchange，提问作者Hennadii Feshchuk