WordPress 4.7.1 REST API espone ancora gli utenti

/**
 * Avvolge un callback esistente passato come parametro e crea
 * un nuovo callback di permesso introducendo controlli preliminari
 * e utilizzando il callback di default in caso di successo.
 */
function permission_callback_hardener ($existing_callback) {
    return function ($request) use($existing_callback) {
        if (! current_user_can('list_users')) {
            return new WP_Error(
                'rest_user_cannot_view',
                __( 'Spiacente, non sei autorizzato ad accedere agli utenti.' ),
                [ 'status' => rest_authorization_required_code() ]
            );
        }

        return $existing_callback($request);
    };
}

function api_users_endpoint_force_auth($endpoints)
{
    $users_get_route = &$endpoints['/wp/v2/users'][0];
    $users_get_route['permission_callback'] = permission_callback_hardener($users_get_route['permission_callback']);

    $user_get_route = &$endpoints['/wp/v2/users/(?P<id>[\d]+)'][0];
    $user_get_route['permission_callback'] = permission_callback_hardener($user_get_route['permission_callback']);

    return $endpoints;
}

add_filter('rest_endpoints', 'api_users_endpoint_force_auth');

• L'endpoint non è bloccato per gli amministratori (Gutenberg continua a funzionare)
• L'endpoint rifiuta gli utenti anonimi in modo corretto.
• È abbastanza generico da supportare ulteriori endpoint.
• Il current_user_can potrebbe essere ulteriormente migliorato, reso più generico.
• Si assume che il metodo GET sia il primo per una route registrata (finora è sempre stato vero)

Rimuovi il link API dall'head HTML se lo desideri.

// https://wordpress.stackexchange.com/a/211469/77054
// https://wordpress.stackexchange.com/a/212472
remove_action( 'wp_head', 'rest_output_link_wp_head', 10 );

Quindi richiedi l'autenticazione per tutte le richieste.

// Puoi richiedere l'autenticazione per tutte le richieste REST API aggiungendo un controllo is_user_logged_in al filtro rest_authentication_errors.
add_filter( 'rest_authentication_errors', function( $result ) {
    if ( ! empty( $result ) ) {
        return $result;
    }
    if ( ! is_user_logged_in() ) {
        return new WP_Error( 'rest_not_logged_in', 'Solo gli utenti autenticati possono accedere alla REST API.', array( 'status' => 401 ) );
    }
    return $result;
});

Questo ti lascerà con il messaggio desiderato.

Ora per fermare l'enumerazione potresti usare qualcosa come questo.

// https://perishablepress.com/stop-user-enumeration-wordpress/
// blocca le scansioni di enumerazione WP
    // https://m0n.co/enum
    if (!is_admin()) {
        // formato URL predefinito
        if (preg_match('/author=([0-9]*)/i', $_SERVER['QUERY_STRING'])) die();
        add_filter('redirect_canonical', 'shapeSpace_check_enum', 10, 2);
    }
    function shapeSpace_check_enum($redirect, $request) {
        // formato URL permalink
        if (preg_match('/\?author=([0-9]*)(\/*)/i', $request)) die();
        else return $redirect;
    }

Consulta l'intero post per ulteriori tecniche.

solo un'altra risposta:

add_filter( 'rest_user_query', '__return_null' );
add_filter( 'rest_prepare_user', '__return_null' );

Puoi risolverlo attraverso la configurazione di nginx/apache:

location ~* /wp-json/wp/v2/users {
        allow indirizzo_ip;
        deny all;
}

Codice .htaccess per bloccare tutti gli scan degli autori

# INIZIO blocco scan autori
RewriteEngine On
RewriteBase /
RewriteCond %{QUERY_STRING} (author=\d+) [NC]
RewriteRule .* - [F]
# FINE blocco scan autori

Puoi rimuoverlo tramite funzione come suggerito nella risposta accettata

Ho utilizzato questo piccolo codice in function.php :

/**
 * Accesso all'API REST solo per amministratori
 *
 * @return void
 */
 function api_rest_only_for_admin_users() {
  $current_user = wp_get_current_user();
  if ( in_array('administrator', $current_user->roles ) ) {
    return;
  } else {
    wp_die('Spiacente, non sei autorizzato ad accedere a questi dati','API REST Vietata',403);
  }
}
add_filter( 'rest_api_init', 'api_rest_only_for_admin_users', 99 );

Per completare la risposta di BlueSuiter del 2017, ecco una soluzione per filtrare gli utenti in base al ruolo che rende la sua soluzione compatibile con l'editor Gutenberg.

add_filter( 'rest_endpoints', function( $endpoints ) {
    
    if(is_user_logged_in()) {

        $user = wp_get_current_user();

        $roles = array('editor', 'administrator', 'author');

        if( array_intersect($roles, $user->roles ) ) return $endpoints; 

    } 

    if ( isset( $endpoints['/wp/v2/users'] ) ) unset( $endpoints['/wp/v2/users'] );

    if ( isset( $endpoints['/wp/v2/users/(?P<id>[\d]+)'] ) ) unset( $endpoints['/wp/v2/users/(?P<id>[\d]+)'] );

    return $endpoints;
    
});

L'editor Gutenberg ha bisogno di interrogare l'API REST per ottenere l'autore. È quindi necessario consentire il passaggio almeno a tutti i ruoli utente del tuo sito che hanno accesso a un editor Gutenberg, senza dimenticare i post personalizzati.

Sull'endpoint pubblico dell'API REST, viene restituito un errore 404 perché is_user_logged_in restituirà sempre false.

Se stai utilizzando un firewall per proteggere il tuo sito WordPress, l'opzione migliore è bloccare l'endpoint API che espone i dettagli degli utenti direttamente dal firewall.

Identifica l'URL https://example.com/wp-json/wp/v2/users e bloccalo semplicemente dal firewall.

Modifica: blocca solo l'endpoint specifico dei dettagli utente e non l'intera API REST.

// Blocco API JSON per utenti WP
function disable_custom_rest_endpoints( $endpoints ) {
    $routes = array( '/wp/v2/users', '/wp/v2/users/(?P<id>[\d]+)' );

    foreach ( $routes as $route ) {
        if ( empty( $endpoints[ $route ] ) ) {
            continue;
        }

        foreach ( $endpoints[ $route ] as $i => $handlers ) {
            if ( is_array( $handlers ) && isset( $handlers['methods'] ) &&
                'GET' === $handlers['methods'] ) {
                unset( $endpoints[ $route ][ $i ] );
            }
        }
    }

    return $endpoints;
}
add_filter( 'rest_endpoints', 'disable_custom_rest_endpoints' );

Ho creato un plugin completo che gestisce questo problema e lo ho pubblicato su GITHUB.

https://github.com/MRKWP/mrkwp-rest-permissions/

Ciò che ho fatto è stato assicurarmi di utilizzare INIT per l'avvio dell'azione, questo garantisce che le funzioni pluggabili funzionino come previsto.

Utilizzo inoltre la capacità 'Edit_posts' di WordPress per l'API. Questo assicura che l'amministratore e l'editor a blocchi funzionino correttamente.

Dai un'occhiata a quel plugin per risolvere eventuali problemi CVE-2017-5487 sollevati dagli auditor di sicurezza.

Utilizza anche PHP CS quindi funzionerà con un'installazione VIP o qualsiasi cosa che necessiti di standard implementati.

Spero che questo possa aiutare qualcuno. Mi ci è voluto un bel po' di tempo per farlo funzionare bene sui miei siti e server.

Per poter risolvere questo problema, è necessario prima individuare la fonte dell'issue.

1. Utilizzi plugin SEO come: All in one SEO pack o Yoast? Prova a disabilitarli e verifica nuovamente.
2. Utilizzi il plugin Jetpack? Prova a disabilitarlo e verifica nuovamente.

Fammi sapere se questi suggerimenti ti hanno indirizzato nella giusta direzione.

Una soluzione rapida (ma non elegante) è bloccare l'URL sottostante nel tuo file .htaccess. https://mywebsite.com/wp-json/wp/v2/users