Cos'è nonce e come utilizzarlo con Ajax in WordPress?

Ora ho capito! WordPress è semplicemente fantastico. Grazie anche a te knif3r, i tuoi suggerimenti mi hanno aiutato molto. Proverò a spiegarlo con le mie parole. Per favore, correggimi se sbaglio.

Cos'è un nonce?

Un nonce è qualcosa simile a un hash di sicurezza per prevenire attacchi ed errori. Crea identificatori unici per verificare se la richiesta ajax proviene dal sito web o meno. Nelle parole di WordPress:

Un nonce è un "numero usato una volta" per proteggere URL e form da alcuni tipi di abuso, sia maliziosi che no. I nonce di WordPress non sono numeri, ma sono un hash composto da numeri e lettere. Inoltre, non vengono usati una sola volta, ma hanno un "tempo di vita" limitato, dopo il quale scadono.

Come si usa?

1. Per prima cosa dobbiamo aggiungere il nostro file js correttamente usando wp_enqueue_script(). Qualcosa del genere:

    function wpdocs_theme_name_scripts() {
        wp_enqueue_script( 'script-name', get_stylesheet_directory_uri().
            '/js/ajxfile.js', array(), '1.0.0', true );
    }
    add_action( 'wp_enqueue_scripts', 'wpdocs_theme_name_scripts' );
   

Registriamo il nostro file ajxfile.js con il nome script-name. Ora viene caricato su tutte le pagine del nostro WordPress.

2. Ora dobbiamo usare wp_localize_script() per dichiarare le nostre variabili e qui aggiungiamo il nostro nonce da usare nelle funzioni.

    function wpdocs_theme_name_scripts() {
        wp_enqueue_script( 'script-name', get_stylesheet_directory_uri() . 
            '/js/ajxfile.js', array(), '1.0.0', true );
        wp_localize_script('script-name', 'ajax_var', array(
            'url' => admin_url('admin-ajax.php'),
            'nonce' => wp_create_nonce('ajax-nonce')
        ));
    }
   

Abbiamo registrato e localizzato con successo il nostro script.

3. Assicurati di passare i dati del nonce nella tua chiamata ajax in ajxfile.js:

    /* global ajax_var */
    $.ajax( {
        url: ajax_var.url,
        type: 'post',
        data: {
            action: 'custom_script_name',
            nonce: ajax_var.nonce,   // passa il nonce qui
            moredata: 'whatever',
        },
        success( data ) {
            if ( data ) {
                // etc...
            }
        },
    } );
   

4. Ora vogliamo collegare la nostra funzione con il nostro script. Quindi ho usato questo:

    add_action('wp_ajax_nopriv_custom_script_name', 'custom_php_ajax_function');    
    add_action('wp_ajax_custom_script_name', 'custom_php_ajax_function');
   

Stiamo usando wp_ajax_nopriv_ e wp_ajax_ per collegare le nostre funzioni agli hook di WordPress. Il secondo hook viene attivato quando un utente è loggato e il primo quando non lo è.

5. La nostra funzione sarà così:

    function custom_php_ajax_function() {
        // Controlla la sicurezza del nonce      
        if ( ! wp_verify_nonce( $_POST['nonce'], 'ajax-nonce' ) ) {
            die ( 'Busted!');
        }
    }
   

La nostra funzione controllerà se i dati ajax stanno inviando il dato nascosto nonce con gli altri parametri. Se non lo fa, genererà un errore. Questo può davvero aiutare a prevenire attacchi ajax. Il dato Nonce è un valore nascosto e deve essere inviato con gli altri parametri.

Come verificare se funziona o meno?

• Rimuovi 'nonce' => wp_create_nonce('ajax-nonce') da wpdocs_theme_name_scripts() e clicca sul link. Mostrerà un errore.
• Ora rimuovi il controllo di sicurezza dalla nostra funzione e clicca sul link. Funzionerà.

Questo dimostra che la nostra funzione con il controllo di sicurezza del nonce non funzionerà mai se non ci sono dati nonce. È nascosto, quindi nessun altro può usarlo. E se nessuno lo conosce, non importa quante volte eseguano quell'ajax, la nostra funzione non risponderà.

Scusate per il mio inglese approssimativo e la spiegazione poco chiara. Sto solo cercando di aiutare. Fatemi sapere se manca qualcosa o se ho fatto qualcosa di sbagliato.