Ocultando los endpoints de la API REST de WordPress v2 de la vista pública

¿Es posible permitir que solo usuarios autorizados accedan a un endpoint?

Sí es posible agregar un callback de permisos personalizado a tu endpoint de API que requiera autenticación para ver el contenido. Los usuarios no autorizados recibirán una respuesta de error "code": "rest_forbidden"

La forma más sencilla de hacer esto es extendiendo el WP_REST_Posts_Controller. Aquí tienes un ejemplo muy simple de cómo hacerlo:

class My_Private_Posts_Controller extends WP_REST_Posts_Controller {

   /**
   * El namespace.
   *
   * @var string
   */
   protected $namespace;

   /**
   * El tipo de post para el objeto actual.
   *
   * @var string
   */
   protected $post_type;

   /**
   * Base REST para el objeto actual.
   *
   * @var string
   */
   protected $rest_base;

  /**
   * Registrar las rutas para los objetos del controlador.
   * Casi igual que WP_REST_Posts_Controller::register_routes(), pero con un 
   * callback de permisos personalizado.
   */
  public function register_routes() {
    register_rest_route( $this->namespace, '/' . $this->rest_base, array(
        array(
            'methods'             => WP_REST_Server::READABLE,
            'callback'            => array( $this, 'get_items' ),
            'permission_callback' => array( $this, 'get_items_permissions_check' ),
            'args'                => $this->get_collection_params(),
            'show_in_index'       => true,
        ),
        array(
            'methods'             => WP_REST_Server::CREATABLE,
            'callback'            => array( $this, 'create_item' ),
            'permission_callback' => array( $this, 'create_item_permissions_check' ),
            'args'                => $this->get_endpoint_args_for_item_schema( WP_REST_Server::CREATABLE ),
            'show_in_index'       => true,
        ),
        'schema' => array( $this, 'get_public_item_schema' ),
    ) );

    register_rest_route( $this->namespace, '/' . $this->rest_base . '/(?P<id>[\d]+)', array(
        array(
            'methods'             => WP_REST_Server::READABLE,
            'callback'            => array( $this, 'get_item' ),
            'permission_callback' => array( $this, 'get_item_permissions_check' ),
            'args'                => array(
                'context' => $this->get_context_param( array( 'default' => 'view' ) ),
            ),
            'show_in_index'       => true,
        ),
        array(
            'methods'             => WP_REST_Server::EDITABLE,
            'callback'            => array( $this, 'update_item' ),
            'permission_callback' => array( $this, 'update_item_permissions_check' ),
            'args'                => $this->get_endpoint_args_for_item_schema( WP_REST_Server::EDITABLE ),
            'show_in_index'       => true,
        ),
        array(
            'methods'             => WP_REST_Server::DELETABLE,
            'callback'            => array( $this, 'delete_item' ),
            'permission_callback' => array( $this, 'delete_item_permissions_check' ),
            'args'                => array(
                'force' => array(
                    'default'     => true,
                    'description' => __( 'Si se debe omitir la papelera y forzar la eliminación.' ),
                ),
            ),
            'show_in_index'       => false,
        ),
        'schema' => array( $this, 'get_public_item_schema' ),
    ) );     
  }

  /**
   * Verificar si una solicitud dada tiene acceso para obtener items
   *
   * @param WP_REST_Request $request Datos completos sobre la solicitud.
   * @return WP_Error|bool
   */
  public function get_items_permissions_check( $request ) {
    return current_user_can( 'edit_posts' );
  }

}

Notarás que el callback de permisos function get_items_permissions_check usa current_user_can para determinar si permite el acceso. Dependiendo de cómo estés usando la API, quizás necesites aprender más sobre autenticación de clientes.

Luego puedes registrar tu tipo de post personalizado con soporte para REST API agregando los siguientes argumentos en register_post_type

  /**
   * Registrar un tipo de post para libros, con soporte para REST API
   *
   * Basado en el ejemplo de: http://codex.wordpress.org/Function_Reference/register_post_type
   */
  add_action( 'init', 'my_book_cpt' );
  function my_book_cpt() {
    $labels = array(
        'name'               => _x( 'Libros', 'nombre general del tipo de post', 'your-plugin-textdomain' ),
        'singular_name'      => _x( 'Libro', 'nombre singular del tipo de post', 'your-plugin-textdomain' ),
        'menu_name'          => _x( 'Libros', 'menú admin', 'your-plugin-textdomain' ),
        'name_admin_bar'     => _x( 'Libro', 'añadir nuevo en la barra admin', 'your-plugin-textdomain' ),
        'add_new'            => _x( 'Añadir Nuevo', 'libro', 'your-plugin-textdomain' ),
        'add_new_item'       => __( 'Añadir Nuevo Libro', 'your-plugin-textdomain' ),
        'new_item'           => __( 'Nuevo Libro', 'your-plugin-textdomain' ),
        'edit_item'          => __( 'Editar Libro', 'your-plugin-textdomain' ),
        'view_item'          => __( 'Ver Libro', 'your-plugin-textdomain' ),
        'all_items'          => __( 'Todos los Libros', 'your-plugin-textdomain' ),
        'search_items'       => __( 'Buscar Libros', 'your-plugin-textdomain' ),
        'parent_item_colon'  => __( 'Libros Padre:', 'your-plugin-textdomain' ),
        'not_found'          => __( 'No se encontraron libros.', 'your-plugin-textdomain' ),
        'not_found_in_trash' => __( 'No se encontraron libros en la Papelera.', 'your-plugin-textdomain' )
    );

    $args = array(
        'labels'             => $labels,
        'description'        => __( 'Descripción.', 'your-plugin-textdomain' ),
        'public'             => true,
        'publicly_queryable' => true,
        'show_ui'            => true,
        'show_in_menu'       => true,
        'query_var'          => true,
        'rewrite'            => array( 'slug' => 'libro' ),
        'capability_type'    => 'post',
        'has_archive'        => true,
        'hierarchical'       => false,
        'menu_position'      => null,
        'show_in_rest'       => true,
        'rest_base'          => 'books-api',
        'rest_controller_class' => 'My_Private_Posts_Controller',
        'supports'           => array( 'title', 'editor', 'author', 'thumbnail', 'excerpt', 'comments' )
    );

    register_post_type( 'book', $args );
}

Verás que rest_controller_class usa My_Private_Posts_Controller en lugar del controlador por defecto.

He tenido dificultades para encontrar buenos ejemplos y explicaciones sobre el uso de REST API fuera de la documentación. Sin embargo, encontré esta excelente explicación sobre cómo extender el controlador por defecto, y aquí hay una guía muy completa sobre cómo agregar endpoints.

Esto es lo que he utilizado para bloquear a todos los usuarios no logueados de usar la API REST por completo:

add_filter( 'rest_api_init', 'rest_only_for_authorized_users', 99 );
function rest_only_for_authorized_users($wp_rest_server){
    if ( !is_user_logged_in() ) {
        wp_die('Lo siento, no tienes permiso para acceder a estos datos','¿haciendo trampa?',403);
    }
}

La mejor opción es desactivar el nuevo editor V5 y luego deshabilitar la API json, como se explica aquí.

https://codber.com/2020/05/01/how-to-disable-wordpress-rest-api-to-not-logged-in-user-without-a-plugin/

add_filter( 'rest_api_init', 'rest_only_for_authorized_users', 99 );
function rest_only_for_authorized_users($wp_rest_server)
{
if( !is_user_logged_in() ) 

    wp_die('Lo sentimos, no tienes permiso para acceder a estos datos','Autenticación Requerida',403);
} } 
function json_authenticate_handler( $user ) {

global $wp_json_basic_auth_error;

$wp_json_basic_auth_error = null;

// No autenticar dos veces
if ( ! empty( $user ) ) {
    return $user;
}

if ( !isset( $_SERVER['PHP_AUTH_USER'] ) ) {
    return $user;
}

$username = $_SERVER['PHP_AUTH_USER'];
$password = $_SERVER['PHP_AUTH_PW'];


remove_filter( 'determine_current_user', 'json_authenticate_handler', 20 );

$user = wp_authenticate( $username, $password );

add_filter( 'determine_current_user', 'json_authenticate_handler', 20 );

if ( is_wp_error( $user ) ) {
    $wp_json_basic_auth_error = $user;
    return null;
}

$wp_json_basic_auth_error = true;

return $user->ID;}add_filter( 'determine_current_user', 'json_authenticate_handler', 20 );