WordPress: как использовать REST API для авторизации пользователей

Когда речь заходит о создании современных веб-приложений на базе WordPress, часто возникает задача организовать авторизацию пользователей через REST API. Это особенно актуально для одностраничных приложений (SPA), мобильных приложений и интеграций с внешними сервисами. В этой статье мы подробно разберем, как реализовать авторизацию пользователей по REST API в WordPress, рассмотрим популярные методы и приведем примеры кода.

Что такое REST API в WordPress и зачем нужна авторизация

REST API — это интерфейс для взаимодействия с WordPress через HTTP-запросы, позволяющий получать и изменять данные сайта программно. По умолчанию WordPress предоставляет готовый REST API для работы с постами, страницами, пользователями и другими объектами.

Однако многие эндпоинты требуют авторизации, чтобы ограничить доступ к личным данным и управлению сайтом. По умолчанию WordPress поддерживает авторизацию через куки сессии (для фронтенда) и Basic Auth или OAuth для внешних клиентов, но часто эти методы либо неудобны, либо небезопасны.

Поэтому разработчики все чаще реализуют авторизацию через JWT (JSON Web Tokens) — современный, удобный и безопасный способ передавать данные о пользователе между клиентом и сервером.

Как работает JWT авторизация в WordPress REST API

JWT — это компактный токен, который содержит закодированную информацию о пользователе и подпись для проверки подлинности. Схема работы такова:

Пользователь вводит логин и пароль в приложении.
Приложение отправляет запрос на специальный эндпоинт для аутентификации.
Если данные верны, сервер возвращает JWT токен.
Далее клиент отправляет JWT в заголовках запросов к защищенным ресурсам.
Сервер проверяет токен и, если он валиден, разрешает доступ.

Такой подход избавляет от необходимости постоянно передавать логин и пароль и обеспечивает безопасность за счет подписи токена.

Настройка JWT авторизации в WordPress: пошаговое руководство

1. Установка плагина JWT Authentication for WP REST API

Для начала проще всего воспользоваться готовым решением — плагином JWT Authentication for WP REST API. Он позволяет быстро добавить поддержку JWT на ваш сайт.

Установите и активируйте плагин через панель администратора WordPress. Затем добавьте в файл wp-config.php секретный ключ для подписи токенов:

define('JWT_AUTH_SECRET_KEY', 'ваш_случайный_секретный_ключ');

Ключ должен быть длинным и уникальным, например, сгенерированным через генератор паролей.

2. Конфигурация .htaccess для поддержки заголовков авторизации

Если вы используете Apache, добавьте в файл .htaccess следующие строки, чтобы сервер пропускал заголовок Authorization:

RewriteEngine On
RewriteCond %{HTTP:Authorization} ^(.*)
RewriteRule ^(.*) - [E=HTTP_AUTHORIZATION:%1]

Это необходимо, чтобы PHP мог получить заголовок JWT.

3. Пример запроса для получения JWT токена

Для авторизации нужно отправить POST-запрос на эндпоинт:

https://ваш-сайт.ru/wp-json/jwt-auth/v1/token

Пример тела запроса (application/json):

{
  "username": "имя_пользователя",
  "password": "пароль"
}

Ответ будет содержать токен:

{
  "token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9...",
  "user_email": "user@example.com",
  "user_nicename": "user",
  "user_display_name": "User"
}

Использование JWT токена для доступа к защищенным REST API методам

После получения токена при последующих запросах к защищенным эндпоинтам добавляйте заголовок:

Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9...

Пример запроса на получение информации о текущем пользователе:

GET /wp-json/wp/v2/users/me

с заголовком Authorization. Если токен валиден, сервер вернет данные пользователя.

Расширение функционала: создание собственного эндпоинта с авторизацией JWT в WordPress

Иногда нужно создать собственный REST API маршрут, доступ к которому будет только у авторизованных пользователей. Рассмотрим пример, как это сделать с поддержкой JWT.

Добавим код в файл functions.php вашей темы или в свой плагин:

function wpmark_register_protected_route() {
  register_rest_route('wpmark/v1', '/secret', array(
    'methods' => 'GET',
    'callback' => 'wpmark_protected_callback',
    'permission_callback' => function () {
      return is_user_logged_in();
    },
  ));
}
add_action('rest_api_init', 'wpmark_register_protected_route');

function wpmark_protected_callback() {
  $current_user = wp_get_current_user();
  return array(
    'message' => 'Привет, ' . $current_user->display_name . '! Это защищенный маршрут REST API.',
  );
}

Этот маршрут /wp-json/wpmark/v1/secret будет доступен только авторизованным пользователям, включая авторизацию через JWT.

Советы по безопасности при использовании JWT в WordPress

Несмотря на удобство, работа с JWT требует соблюдения мер безопасности:

Используйте HTTPS: передавайте токены только по защищенному протоколу, чтобы исключить перехват.
Не храните токены в localStorage без шифрования: предпочтительнее использовать httpOnly куки.
Устанавливайте срок жизни токена: в настройках плагина можно задать время действия токена, чтобы ограничить риски при компрометации.
Регулярно обновляйте секретный ключ: ключ подписи должен быть уникальным и не использоваться повторно.

Альтернативные способы авторизации в WordPress REST API

Если JWT по каким-то причинам не подходит, рассмотрите следующие варианты:

Basic Authentication: простой метод, но передает логин и пароль в каждом запросе, что небезопасно без HTTPS.
OAuth 1.0a: более сложный, но безопасный протокол с поддержкой токенов и обновления.
Application Passwords (Пароли приложений): встроенный в WordPress метод, позволяющий создавать отдельные пароли для API-запросов.

В зависимости от проекта и требований безопасности выбирайте подходящий метод.

Заключение: как начать использовать авторизацию REST API на wpmark.ru

Для быстрого старта рекомендую установить плагин JWT Authentication for WP REST API с wpshop.ru, настроить секретный ключ и протестировать получение токена через Postman или curl.

Далее можно расширять функционал, создавая собственные защищенные маршруты или интегрируя авторизацию в мобильные и SPA приложения.

Если вы хотите упростить работу с отзывами или контентом, обратите внимание на плагины из WPShop, которые могут взаимодействовать с REST API и дополнительно автоматизировать задачи.