Как создать внешний API для WordPress с поддержкой авторизации

Введение в создание внешнего API для WordPress

WordPress изначально предоставляет REST API, но иногда возникает задача создать собственный внешний API с расширенными возможностями, например, для интеграции с внешними системами или мобильными приложениями. Важно обеспечить безопасный доступ к такому API, реализовав надежные механизмы авторизации.

В этой статье мы подробно рассмотрим, как создать внешний API на базе WordPress с поддержкой популярных методов авторизации: JWT (JSON Web Token) и OAuth 2.0. Также приведем примеры кода, которые упростят внедрение данного функционала.

Выбор метода авторизации для внешнего API

Безопасность API напрямую зависит от корректной реализации механизма авторизации. Рассмотрим два популярных подхода:

JWT (JSON Web Token) — прост в реализации, подходит для собственных приложений и сервисов с контролем пользователей.
OAuth 2.0 — стандарт для авторизации в сторонних приложениях, обеспечивает делегирование доступа без передачи паролей.

Выбор зависит от требований проекта и уровня доверия к клиентам API.

Реализация JWT авторизации в WordPress

Установка и настройка плагина JWT Authentication

Для начала удобно использовать готовый плагин JWT Authentication for WP REST API. Он позволяет быстро настроить JWT авторизацию.

После установки и активации добавьте в wp-config.php секретный ключ:

define('JWT_AUTH_SECRET_KEY', 'ваш_случайный_секретный_ключ');

Далее, чтобы получить токен, отправьте POST-запрос на /wp-json/jwt-auth/v1/token с параметрами:

username
password

Успешный ответ вернет токен, который затем передается в заголовке Authorization при вызове других методов API:

Authorization: Bearer ваш_токен

Создание собственного эндпоинта с проверкой JWT

Добавим собственный REST API эндпоинт, доступный только авторизованным пользователям:

add_action('rest_api_init', function() {
    register_rest_route('wordpresses/v1', '/userdata', array(
        'methods' => 'GET',
        'callback' => 'wordpresses_get_userdata',
        'permission_callback' => function () {
            return is_user_logged_in();
        }
    ));
});

function wordpresses_get_userdata(WP_REST_Request $request) {
    $user = wp_get_current_user();
    return array(
        'ID' => $user->ID,
        'login' => $user->user_login,
        'email' => $user->user_email
    );
}

Важно, что is_user_logged_in() здесь работает при корректной передаче JWT токена через заголовок.

Реализация OAuth 2.0 для WordPress API

Использование плагина WP OAuth Server

Для OAuth 2.0 есть удобный плагин WP OAuth Server. Он позволяет настроить сервер авторизации на базе WordPress с поддержкой различных grant типов.

После установки вы сможете создавать приложения-клиенты, выдавать access token и контролировать права доступа.

Пример запроса токена OAuth 2.0

Стандартный запрос для получения токена:

POST /oauth/token
Content-Type: application/x-www-form-urlencoded

client_id=YOUR_CLIENT_ID&client_secret=YOUR_CLIENT_SECRET&grant_type=password&username=USER&password=PASS

Далее access token используется в заголовке Authorization:

Authorization: Bearer ACCESS_TOKEN

Дополнительные советы и инструменты

Если вы планируете создавать сложные интеграции, обратите внимание на плагины из WPShop, например, Expert Review для добавления рейтингов через API или WPGPT для автоматизации ответов.

Также можно самостоятельно расширять функционал API, добавляя кастомные маршруты и методы с помощью register_rest_route, как показано в примерах выше.