Ascunderea endpoint-urilor WordPress REST API v2 de la vizualizarea publică

Este posibil să permiti accesul la un endpoint doar pentru utilizatorii autorizați?

Este posibil să adaugi un callback personalizat de permisiuni la endpoint-ul tău API care necesită autentificare pentru a vizualiza conținutul. Utilizatorii neautorizați vor primi un răspuns de eroare "code": "rest_forbidden"

Cea mai simplă metodă este să extinzi WP_REST_Posts_Controller. Iată un exemplu foarte simplu:

class My_Private_Posts_Controller extends WP_REST_Posts_Controller {

   /**
   * Namespace-ul.
   *
   * @var string
   */
   protected $namespace;

   /**
   * Tipul de postare pentru obiectul curent.
   *
   * @var string
   */
   protected $post_type;

   /**
   * Baza REST pentru obiectul curent.
   *
   * @var string
   */
   protected $rest_base;

  /**
   * Înregistrează rutele pentru obiectele controlerului.
   * Aproape identic cu WP_REST_Posts_Controller::register_routes(), dar cu un
   * callback de permisiuni personalizat.
   */
  public function register_routes() {
    register_rest_route( $this->namespace, '/' . $this->rest_base, array(
        array(
            'methods'             => WP_REST_Server::READABLE,
            'callback'            => array( $this, 'get_items' ),
            'permission_callback' => array( $this, 'get_items_permissions_check' ),
            'args'                => $this->get_collection_params(),
            'show_in_index'       => true,
        ),
        array(
            'methods'             => WP_REST_Server::CREATABLE,
            'callback'            => array( $this, 'create_item' ),
            'permission_callback' => array( $this, 'create_item_permissions_check' ),
            'args'                => $this->get_endpoint_args_for_item_schema( WP_REST_Server::CREATABLE ),
            'show_in_index'       => true,
        ),
        'schema' => array( $this, 'get_public_item_schema' ),
    ) );

    register_rest_route( $this->namespace, '/' . $this->rest_base . '/(?P<id>[\d]+)', array(
        array(
            'methods'             => WP_REST_Server::READABLE,
            'callback'            => array( $this, 'get_item' ),
            'permission_callback' => array( $this, 'get_item_permissions_check' ),
            'args'                => array(
                'context' => $this->get_context_param( array( 'default' => 'view' ) ),
            ),
            'show_in_index'       => true,
        ),
        array(
            'methods'             => WP_REST_Server::EDITABLE,
            'callback'            => array( $this, 'update_item' ),
            'permission_callback' => array( $this, 'update_item_permissions_check' ),
            'args'                => $this->get_endpoint_args_for_item_schema( WP_REST_Server::EDITABLE ),
            'show_in_index'       => true,
        ),
        array(
            'methods'             => WP_REST_Server::DELETABLE,
            'callback'            => array( $this, 'delete_item' ),
            'permission_callback' => array( $this, 'delete_item_permissions_check' ),
            'args'                => array(
                'force' => array(
                    'default'     => true,
                    'description' => __( 'Whether to bypass trash and force deletion.' ),
                ),
            ),
            'show_in_index'       => false,
        ),
        'schema' => array( $this, 'get_public_item_schema' ),
    ) );     
  }

  /**
   * Verifică dacă o cerere dată are acces pentru a obține articole
   *
   * @param WP_REST_Request $request Date complete despre cerere.
   * @return WP_Error|bool
   */
  public function get_items_permissions_check( $request ) {
    return current_user_can( 'edit_posts' );
  }

}

Veți observa că callback-ul de permisiuni function get_items_permissions_check folosește current_user_can pentru a determina dacă să permită accesul. În funcție de cum folosiți API-ul, poate fi necesar să aflați mai multe despre autentificarea clientului.

Apoi puteți înregistra tipul personalizat de postare cu suport pentru REST API adăugând următoarele argumente în register_post_type

  /**
   * Înregistrează un tip de postare 'book', cu suport pentru REST API
   *
   * Bazat pe exemplul de la: http://codex.wordpress.org/Function_Reference/register_post_type
   */
  add_action( 'init', 'my_book_cpt' );
  function my_book_cpt() {
    $labels = array(
        'name'               => _x( 'Cărți', 'nume general tip postare', 'your-plugin-textdomain' ),
        'singular_name'      => _x( 'Carte', 'nume singular tip postare', 'your-plugin-textdomain' ),
        'menu_name'          => _x( 'Cărți', 'meniu admin', 'your-plugin-textdomain' ),
        'name_admin_bar'     => _x( 'Carte', 'adaugă nou în bara admin', 'your-plugin-textdomain' ),
        'add_new'            => _x( 'Adaugă nou', 'carte', 'your-plugin-textdomain' ),
        'add_new_item'       => __( 'Adaugă carte nouă', 'your-plugin-textdomain' ),
        'new_item'           => __( 'Carte nouă', 'your-plugin-textdomain' ),
        'edit_item'          => __( 'Editează carte', 'your-plugin-textdomain' ),
        'view_item'          => __( 'Vezi carte', 'your-plugin-textdomain' ),
        'all_items'          => __( 'Toate cărțile', 'your-plugin-textdomain' ),
        'search_items'       => __( 'Caută cărți', 'your-plugin-textdomain' ),
        'parent_item_colon'  => __( 'Cărți părinte:', 'your-plugin-textdomain' ),
        'not_found'          => __( 'Nicio carte găsită.', 'your-plugin-textdomain' ),
        'not_found_in_trash' => __( 'Nicio carte găsită în Coșul de gunoi.', 'your-plugin-textdomain' )
    );

    $args = array(
        'labels'             => $labels,
        'description'        => __( 'Descriere.', 'your-plugin-textdomain' ),
        'public'             => true,
        'publicly_queryable' => true,
        'show_ui'            => true,
        'show_in_menu'       => true,
        'query_var'          => true,
        'rewrite'            => array( 'slug' => 'book' ),
        'capability_type'    => 'post',
        'has_archive'        => true,
        'hierarchical'       => false,
        'menu_position'      => null,
        'show_in_rest'       => true,
        'rest_base'          => 'books-api',
        'rest_controller_class' => 'My_Private_Posts_Controller',
        'supports'           => array( 'title', 'editor', 'author', 'thumbnail', 'excerpt', 'comments' )
    );

    register_post_type( 'book', $args );
}

Veți observa că rest_controller_class folosește My_Private_Posts_Controller în loc de controlerul implicit.

Am avut dificultăți în a găsi exemple bune și explicații pentru utilizarea REST API în afara documentației. Am găsit însă această explicație excelentă despre extinderea controlerului implicit și iată un ghid foarte detaliat pentru adăugarea de endpoint-uri.

Iată ce am folosit pentru a bloca toți utilizatorii nelogati să folosească API-ul REST:

add_filter( 'rest_api_init', 'rest_only_for_authorized_users', 99 );
function rest_only_for_authorized_users($wp_rest_server){
    if ( !is_user_logged_in() ) {
        wp_die('Ne pare rău, nu aveți permisiunea de a accesa aceste date','Încercați să trișați?',403);
    }
}

Cea mai bună opțiune este să dezactivezi noul editor V5 și apoi să dezactivezi API-ul JSON, așa cum este explicat aici.

https://codber.com/2020/05/01/how-to-disable-wordpress-rest-api-to-not-logged-in-user-without-a-plugin/

add_filter( 'rest_api_init', 'rest_only_for_authorized_users', 99 );
function rest_only_for_authorized_users($wp_rest_server)
{
if( !is_user_logged_in() ) 

    wp_die('Ne pare rău, nu aveți permisiunea să accesați aceste date','Autentificare necesară',403);
} } 
function json_authenticate_handler( $user ) {

global $wp_json_basic_auth_error;

$wp_json_basic_auth_error = null;

// Nu autentifica de două ori
if ( ! empty( $user ) ) {
    return $user;
}

if ( !isset( $_SERVER['PHP_AUTH_USER'] ) ) {
    return $user;
}

$username = $_SERVER['PHP_AUTH_USER'];
$password = $_SERVER['PHP_AUTH_PW'];


remove_filter( 'determine_current_user', 'json_authenticate_handler', 20 );

$user = wp_authenticate( $username, $password );

add_filter( 'determine_current_user', 'json_authenticate_handler', 20 );

if ( is_wp_error( $user ) ) {
    $wp_json_basic_auth_error = $user;
    return null;
}

$wp_json_basic_auth_error = true;

return $user->ID;}add_filter( 'determine_current_user', 'json_authenticate_handler', 20 );