Come validare un utente esternamente a WordPress/PHP?

WordPress ha già un'API integrata tramite un server XMLRPC. Ciò significa che puoi effettuare una richiesta XMLRPC dalla tua applicazione Java e verificare un nome utente/password. Sfortunatamente, non è possibile autenticarsi direttamente così com'è.

Detto questo, è molto semplice crearne una tua. Basta agganciarsi al filtro xmlrpc_methods e aggiungere il tuo. La chiave dell'array che aggiungi sarà il metodo XMLRPC che chiami dalla tua app, e il valore sarà la funzione che viene chiamata dal server XMLRPC di WordPress.

<?php
add_filter('xmlrpc_methods', 'wpse39662_add_login_method' );
/**
 * Filtra i metodi XMLRPC per consentire solo la verifica del login/password
 * di un determinato utente
 */
function wpse39662_add_login_method( $methods )
{
    $methods['wpse39662.login'] = 'wpse39662_check_login';
    return $methods;
}

E la funzione di callback, wpse39662_check_login, riceverà un argomento, l'array di elementi inviati al server XMLRPC.

<?php
function wpse39662_check_login( $args )
{
    $username = $args[0];
    $password = $args[1];

    $user = wp_authenticate( $username, $password );

    if( is_wp_error( $user ) )
    {
        return false;
    }
    return true;
}

Ecco tutto questo come plugin. Con questo installato e XMLRPC abilitato sul tuo sito WP, dovresti essere in grado di effettuare richieste con un client XMLRPC (sono sicuro che Java ne abbia uno).

Ecco il codice che ho usato per testare quanto sopra (client XMLRPC Python).

>>> import xmlrpclib as xmlrpc
>>> s = xmlrpc.ServerProxy('http://wordpress.dev/xmlrpc.php')
>>> s.wpse39662.login('admin', 'password')
True

WordPress (attualmente) verifica se l'utente è ancora loggato controllando uno dei cookie che rilascia al momento del login. Costruisce il contenuto di questo cookie eseguendo alcuni hash. I dettagli sono nella funzione "wp_generate_auth_cookie" in /wp-includes/pluggable.php:

function wp_generate_auth_cookie($user_id, $expiration, $scheme = 'auth') {
    $user = get_userdata($user_id);

    $pass_frag = substr($user->user_pass, 8, 4);

    $key = wp_hash($user->user_login . $pass_frag . '|' . $expiration, $scheme);
    $hash = hash_hmac('md5', $user->user_login . '|' . $expiration, $key);

    $cookie = $user->user_login . '|' . $expiration . '|' . $hash;

    return apply_filters('auth_cookie', $cookie, $user_id, $expiration, $scheme);
}

Puoi ricreare questo algoritmo (usando questa e le altre funzioni auth_cookie) nel tuo codice Java per eseguire gli stessi controlli. JS potrebbe essere usato per assicurarsi che il cookie venga inviato al tuo servlet.

In alternativa XMLRPC potrebbe essere una buona idea. Potresti scrivere un nuovo metodo (come spiegato in un'altra soluzione qui) per validare il cookie di autenticazione (invece di validare username e password come si fa di solito).

Scarica il plugin Exec-PHP, quindi crea una pagina WordPress (non un articolo) con un permalink appropriato (http://mysite/user_id/) e inserisci il codice presente nella documentazione dell'API get_current_user_id():

<?php
$user_id = get_current_user_id();
if ($user_id == 0) {
    echo 'Al momento non sei loggato.';
} else {
    echo 'Sei loggato come utente '.$user_id.'.';
}
?>

A questo punto puoi estrarre i cookie inviati dal client e inserirli in una richiesta GET per http://127.0.0.1/user_id/. In questo modo saprai se l'utente è loggato e qual è il suo ID utente.

Potresti fare qualcosa del genere sulle pagine non-WP:

<?php
require('./wp-blog-header.php');
// Assicurati che ^ punti alla root della tua installazione WP

if ( is_user_logged_in() ) {
   // Esegui la tua richiesta qui
}

?>

Questo è un plugin WordPress in un singolo file che fa il lavoro:

function yournamespace_validateAuthCookie($cookie, $scheme = 'logged_in') {
    return wp_validate_auth_cookie($cookie, $scheme);
}

function yournamespace_new_xmlrpc_methods($methods) {
    $methods['yournamespace.validateAuthCookie'] = 'yournamespace_validateAuthCookie';
    return $methods;
}
add_filter('xmlrpc_methods', 'yournamespace_new_xmlrpc_methods');

In sostanza, espone un nuovo metodo XML-RPC con cui puoi chiedere a WordPress di validare il cookie wordpress_logged_in_....

Successivamente, devi scrivere del codice per interrogare questo metodo e passargli il valore del cookie wordpress_logged_in_....

Questo metodo restituirà false (se il cookie non è valido) oppure l'ID dell'utente se la validazione ha successo.