WordPress电商站与自定义网站单点登录实现方案咨询

你的方案可行性评估 #

你的思路核心是通过URL传递邮箱参数来创建用户并登录，但这个方案存在严重的安全漏洞，不可直接采用：

• URL参数明文传递，容易被篡改：攻击者可以修改邮箱参数，冒充任意用户创建账号并登录，完全破坏网站的访问控制。
• 无验证机制：无法确认请求是否来自可信的自定义网站，恶意请求也能触发用户创建和登录流程。

安全可靠的实现方案 #

我们需要构建一个带签名验证的一次性登录流程，确保只有指定列表内的用户能通过可信链接自动登录，具体步骤如下：

1. 预先准备：维护可信用户列表 #

在WordPress后台或通过代码（比如在functions.php中定义一个数组）维护允许登录的邮箱&姓名列表：

// 示例：可信用户列表，可替换为从数据库/配置文件读取
$trusted_users = [
    'user1@example.com' => '张三',
    'user2@example.com' => '李四',
    // ... 更多用户
];

2. 在自定义网站生成安全登录链接 #

自定义网站需要生成带HMAC签名的登录URL，签名用于验证请求的合法性。示例代码（以PHP为例）：

// 自定义网站端：生成签名登录链接
$secret_key = '你的保密密钥（两边要一致）';
$user_email = '允许登录的用户邮箱';
$expires = time() + 3600; // 链接1小时后过期

// 生成签名：基于邮箱、过期时间和密钥
$signature = hash_hmac('sha256', $user_email . '|' . $expires, $secret_key);

// 构建WordPress登录链接
$login_url = 'https://你的WordPress站点域名/wp-admin/admin-post.php?action=trusted_auto_login&email=' . urlencode($user_email) . '&expires=' . $expires . '&signature=' . $signature;

3. 在WordPress中处理登录请求 #

在WordPress的functions.php中添加自定义处理函数，验证签名并完成自动登录：

// WordPress端：处理可信用户自动登录
add_action('admin_post_trusted_auto_login', 'handle_trusted_auto_login');
add_action('admin_post_nopriv_trusted_auto_login', 'handle_trusted_auto_login');

function handle_trusted_auto_login() {
    $secret_key = '和自定义网站一致的保密密钥';
    $trusted_users = [
        'user1@example.com' => '张三',
        'user2@example.com' => '李四',
    ];

    // 检查必要参数是否存在
    if (!isset($_GET['email'], $_GET['expires'], $_GET['signature'])) {
        wp_die('无效的请求参数');
    }

    $user_email = sanitize_email($_GET['email']);
    $expires = (int)$_GET['expires'];
    $signature = $_GET['signature'];

    // 1. 检查链接是否过期
    if (time() > $expires) {
        wp_die('登录链接已过期');
    }

    // 2. 检查用户是否在可信列表中
    if (!array_key_exists($user_email, $trusted_users)) {
        wp_die('你无权访问本站');
    }

    // 3. 验证签名是否正确
    $expected_signature = hash_hmac('sha256', $user_email . '|' . $expires, $secret_key);
    if (!hash_equals($expected_signature, $signature)) {
        wp_die('请求验证失败');
    }

    // 4. 创建用户（如果不存在）
    $user = get_user_by('email', $user_email);
    if (!$user) {
        $username = sanitize_user(str_replace('@', '_', $user_email));
        $password = wp_generate_password(16, false);
        $user_id = wp_create_user($username, $password, $user_email);
        // 设置用户姓名
        wp_update_user([
            'ID' => $user_id,
            'first_name' => $trusted_users[$user_email]
        ]);
        $user = get_user_by('ID', $user_id);
    }

    // 5. 自动登录用户
    wp_set_current_user($user->ID);
    wp_set_auth_cookie($user->ID);

    // 6. 跳转至购物流程（比如购物车或产品页面）
    wp_redirect(home_url('/shop/')); // 替换为你的购物页面URL
    exit;
}

关键安全注意事项 #

• 保密密钥要安全：不要把密钥硬编码在公开代码中，可通过WordPress的wp-config.php定义常量（比如define('TRUSTED_LOGIN_SECRET', '你的密钥');），两边都使用这个常量。
• 设置合理的过期时间：避免链接长期有效，降低泄露风险。
• 使用hash_equals验证签名：避免时序攻击，比直接字符串比较更安全。
• ** sanitize所有输入**：对邮箱、参数进行 sanitize，防止XSS或SQL注入。

内容的提问来源于stack exchange，提问作者Mohammed W