Cómo validar un usuario desde fuera de WordPress/PHP

WordPress ya tiene una API incorporada a través de un servidor XMLRPC. Esto significa que puedes hacer una solicitud XMLRPC desde tu aplicación Java y verificar un nombre de usuario/contraseña. Desafortunadamente, no hay manera de autenticarse directamente a través de ella tal como está.

Dicho esto, es muy fácil crear la tuya propia. Solo debes engancharte al filtro xmlrpc_methods y agregar el tuyo. La clave del array que agregues será el método XMLRPC que llamarás desde tu aplicación, y el valor será la función que será llamada por el servidor XMLRPC de WordPress.

<?php
add_filter('xmlrpc_methods', 'wpse39662_add_login_method' );
/**
 * Filtra los métodos XMLRPC para permitir solo verificar el usuario/contraseña
 * de un usuario dado
 */
function wpse39662_add_login_method( $methods )
{
    $methods['wpse39662.login'] = 'wpse39662_check_login';
    return $methods;
}

Y la función de callback, wpse39662_check_login, recibiría un argumento, el array de cosas enviadas al servidor XMLRPC.

<?php
function wpse39662_check_login( $args )
{
    $username = $args[0];
    $password = $args[1];

    $user = wp_authenticate( $username, $password );

    if( is_wp_error( $user ) )
    {
        return false;
    }
    return true;
}

Aquí está todo eso como un plugin. Con eso instalado y XMLRPC habilitado en tu sitio de WP, deberías poder hacer solicitudes con algún cliente XMLRPC (estoy seguro de que Java tiene uno).

Aquí está el código que usé para probar lo anterior (cliente XMLRPC de Python).

>>> import xmlrpclib as xmlrpc
>>> s = xmlrpc.ServerProxy('http://wordpress.dev/xmlrpc.php')
>>> s.wpse39662.login('admin', 'password')
True

WordPress (actualmente) verifica si el usuario sigue conectado comprobando una de las cookies que emite al iniciar sesión. Construye el contenido de esta cookie mediante operaciones de hashing. Los detalles están en la función "wp_generate_auth_cookie" en /wp-includes/pluggable.php:

function wp_generate_auth_cookie($user_id, $expiration, $scheme = 'auth') {
    $user = get_userdata($user_id);

    $pass_frag = substr($user->user_pass, 8, 4);

    $key = wp_hash($user->user_login . $pass_frag . '|' . $expiration, $scheme);
    $hash = hash_hmac('md5', $user->user_login . '|' . $expiration, $key);

    $cookie = $user->user_login . '|' . $expiration . '|' . $hash;

    return apply_filters('auth_cookie', $cookie, $user_id, $expiration, $scheme);
}

Puedes recrear este algoritmo (usando esta y otras funciones de auth_cookie) en tu código Java para realizar las mismas verificaciones. Se podría usar JS para asegurar que la cookie se envía a tu servlet.

Alternativamente, XMLRPC podría ser una buena opción. Podrías escribir un nuevo método (como se explica en otra solución aquí) para validar la cookie de autenticación (en lugar de validar usuario y contraseña como se hace normalmente).

Obtén el plugin Exec-PHP, y luego crea una página en WordPress (no una entrada) con un permalink adecuado (http://misitio/user_id/) y el código de la referencia de la API get_current_user_id():

<?php
$user_id = get_current_user_id();
if ($user_id == 0) {
    echo 'Actualmente no has iniciado sesión.';
} else {
    echo 'Has iniciado sesión como usuario '.$user_id.'.';
}
?>

Luego puedes extraer las cookies que el cliente te envía y colocarlas en una solicitud GET para http://127.0.0.1/user_id/. Así sabrás si el usuario ha iniciado sesión y cuál es su ID de usuario.

Podrías hacer algo como esto en las páginas que no son de WordPress:

<?php
require('./wp-blog-header.php');
// Asegúrate de que ^ apunte al directorio raíz de tu instalación de WP

if ( is_user_logged_in() ) {
   // Ejecuta tu solicitud aquí
}

?>

Este es un plugin de WordPress de un solo archivo que hace el trabajo:

function yournamespace_validateAuthCookie($cookie, $scheme = 'logged_in') {
    return wp_validate_auth_cookie($cookie, $scheme);
}

function yournamespace_new_xmlrpc_methods($methods) {
    $methods['yournamespace.validateAuthCookie'] = 'yournamespace_validateAuthCookie';
    return $methods;
}
add_filter('xmlrpc_methods', 'yournamespace_new_xmlrpc_methods');

Básicamente, expone un nuevo método XML-RPC con el que puedes pedirle a WordPress que valide la cookie wordpress_logged_in_....

Luego necesitas escribir algún código para consultar este método y pasarle el valor de la cookie wordpress_logged_in_....

Este método devolverá false (si la cookie no es válida) o el ID de usuario si la validación es exitosa.