具有自定义API Restendpoint的WordPress和JWT

Question

我需要为WordPress提供一个插件，该插件将具有很少的自定义APIendpoint，并且我已经安装了这两个插件

• WordPress REST API V2
• JWT-Auth

我已经创建自定义终端节点：

add_action('rest_api_init', function ($data) {
    register_rest_route('mladi-info/v1', '/user/favorites', [
        'methods' => 'GET',
        'callback' => 'mi_get_favorite_posts'
    ]);
});

我需要保护这个endpoint，以便只有那些发送了JWT令牌的请求（通过发送用户名和密码 /wp-json/jwt-auth/v1/tokenendpoint生成）才能被处理，否则它应该返回401个状态码。我该怎么做？

Answer 1

在保护终结点时，使用 JWT-auth 插件的实际方法是在终结点前面加上正确的命名空间，然后发送一个 Bearer 标头令牌，以便可以成功访问资源。

你的情况是:

add_action('rest_api_init', function ($data) {
    register_rest_route('jwt-auth', 'mladi-info/v1/user/favorites', [
        'methods' => 'GET',
        'callback' => 'mi_get_favorite_posts'
    ]);
});

然后，只需向该终结点发送经过身份验证的请求，请记住使用标头中的 /token 终结点（发送用户名和密码以取回 jwt 令牌的终结点）发送获取的持有者令牌。即。

fetch('https://your-domain.com/wp-json/jwt-auth/mladi-info/v1/user/favorites', {
    method: 'GET'
    mode: 'cors',
    headers: {
      'Authorization': `Bearer ${jwt-token}`
    },
});

Answer 2

当注册新路由时，您应该添加permission_callback参数。

    add_action('rest_api_init', function ($data) {
        register_rest_route('mladi-info/v1', '/user/favorites', 
            array(
                'methods' => 'GET',
                'callback' => 'mi_get_favorite_posts',
                'permission_callback' => function ($request) {
                        if (current_user_can('edit_others_posts'))
                        return true;
                 }
             )
        );
    });

JWT Auth插件将根据标头中的令牌值向permission_callback函数提供用户对象，您需要做的就是在该函数中找出一些“权限逻辑”，这将返回一个bool值。

在我发布的解决方案中，仅当访问 REST 终结点的用户具有“edit_others_posts”功能时，回调才允许访问 REST 终结点 - 管理员和编辑者就是这种情况。