Авторизация в REST API

В REST API есть публичные и приватные конечные точки. Приватные требуют, чтобы пользователь был авторизован и имел соответствующие права на выполнения действия. Аутентификация в REST API выполняется во время запроса.

Аутентификация по cookies

Авторизация по кукам — это стандартный метод аутентификации в WordPress. Пользователь вводит свой логин/пароль, на основе них создается кука (и сохраняется в браузере). А дальше по этой куке WP каждый раз проверяет авторизован ли пользователь.

Для авторизации по кукам в REST запросе обязательно нужно передавать nonce-код. Нужно это для безопасности от атак Cross-Site Request Forgery (CSRF). Такой подход нужен только для обработки запросов, которым нужны особые права, например, запрос на удаление/изменение записи, рубрики и т.д.

Если использовать встроенный Javascript API, то можно забыть про nonce-технологию, так как она в этом случае работает автоматически. Это рекомендуемый метод использовать REST API при создании плагинов и тем, с ним можно быть уверенным, что любой запрос будет отправлен правильно. Базу wp.api.models.Base можно расширять.

Если использовать произвольные AJAX запросы, то нужно самому передавать nonce-код при каждом запросе. Для создания такого nonce-кода нужно использовать ключ wp_rest. nonce-код можно передать через:

• _wpnonce — параметр GET/POST запроса.
• X-WP-Nonce — HEADER параметр заголовка запроса.

Метод авторизации на куках будет работать только:

• когда REST API используется внутри WordPress (при AJAX запросах).
• когда текущий пользователь авторизован на сайте.
• когда у текущего пользователя есть достаточные права для выполнения указанного действия (например, удаления/изменения поста).

Примеры

#1 Как нужно создавать и передавать nonce-код при AJAX запросах.

Создадим данные:

wp_localize_script( 'my-js-file', 'REST_API_data', array(
	'root'  => esc_url_raw( rest_url() ),
	'nonce' => wp_create_nonce( 'wp_rest' )
) );

Теперь используем созданные данные в JS коде:

options.beforeSend = function(xhr) {
	xhr.setRequestHeader( 'X-WP-Nonce', REST_API_data.nonce );

	if ( beforeSend ) {
		return beforeSend.apply( this, arguments );
	}
};

#2 Изменим заголовок записи, через jQuery AJAX и REST API

В этом примере изменим заголовок поста 1. Для этого используется маршрут /wp/v2/posts/{id}:

$.ajax( {
		url        : REST_API_data.root + 'wp/v2/posts/1',
		method     : 'POST',
		beforeSend : function ( xhr ) {
			xhr.setRequestHeader( 'X-WP-Nonce', REST_API_data.nonce );
		},
		data       : {
			'title' : 'Новый заголовок'
		}
	} )
	.done( function ( response ) {
		console.log( response );
	} );

Другие способы аутентификации

Когда нужен другой метод авторизации, например для работы с сайтом из стороннего приложения, используйте:

• Пароли приложений — встроенная в ядро возможнсоть.
• Плагин: OAuth 1.0a Server
• Плагин: JSON Web Tokens