wp_verify_nonce vs check_admin_referer - Diferencias y cuándo usarlas

¡NO! ¡CUIDADO!

No confíes en check_admin_referer() sin los parámetros correctos. Porque, en algunos casos puede que no ejecute die() (contrario a lo que esperarías), en su lugar solo devolverá la respuesta false.

Revisa el comportamiento descrito en la lógica del código fuente:

function check_admin_referer( $action = -1, $query_arg = '_wpnonce' ) {
    $result   = isset( $_REQUEST[ $query_arg ] ) ? wp_verify_nonce( $_REQUEST[ $query_arg ], $action ) : false;

    //Ahora, "verificación die()"
    if ( ! $result && ( -1 !== $action || strpos( wp_get_referer(), admin_url() ) !== 0 ) ) {
        die();
    }
    return $result;
}

Entonces, necesitas entender lo que hace esta lógica. Aquí el desglose:

A) Si llamas simplemente check_admin_referrer() sin parámetros:

• RECUERDA, usará automáticamente el valor incorporado _wpnonce (que es seguro, pero aún así recuerda tener exactamente ese campo al enviar).
• Como lo llamaste sin parámetros, usa el valor predeterminado -1 para la acción, lo que hace que la verificación die() se omita y la función no ejecutará die()
• Por lo tanto, siempre deberías usar (al llamar sin parámetros):

if ( check_admin_referer() ) exit;

B) Si quieres que check_admin_referrer termine automáticamente, entonces siempre debes crear tus nonces y llamarlo con parámetros:

check_admin_referrer($action_name, $name_field );