Creare API pentru autentificare unică cu un site terț

Probleme de Cross-site Scripting

Nu poți transfera cookie-urile de autentificare WP între domenii. De asemenea, nu dorești să stochezi parole în text simplu pentru a te conecta programatic la o altă instalare WP. Prin urmare, va trebui să lași utilizatorii să se autentifice în WordPress, iar apoi să accesezi starea lor de autentificare printr-un punct final API de pe site-ul terț. Acest lucru permite WordPress să gestioneze toată autentificarea. Este destul de sigur, deoarece un utilizator va trebui să se autentifice fizic pe partea WP pentru ca punctul final API să furnizeze datele către terț.

Crearea unui Punct Final API

Consultă acest articol pe care tocmai l-am scris aici: http://coderrr.com/create-an-api-endpoint-in-wordpress/

De asemenea, poți vedea demonstrația de cod aici: https://gist.github.com/2982319

Va trebui să stabilești logica pentru nevoile proprii ale aplicației tale, dar acest lucru îți va permite să creezi un punct final de unde poți furniza orice dorești din partea WordPress.

Deoarece folosești WordPress ca site de autentificare, poți utiliza o verificare precum is_user_logged_in(). Dacă utilizatorul este autentificat, returnează un obiect de utilizator către terța parte cu orice informații au nevoie.

Autentificare din Partea Terței Părți

Din partea terței părți, aceștia pot să ofere un link către pagina ta de autentificare pentru o experiență fără întreruperi, folosind variabila de interogare redirect_to. După autentificare, aceștia vor fi redirecționați înapoi pe site-ul terței părți.

http://sub.yourdomain.com/wp-login.php?redirect_to=http%3A%2F%2Fwww.third-party-domain.com

Autentificări de la Distanță

Dacă trebuie să autentifici utilizatori în WordPress de pe un site terț, poți folosi câteva funcții simple WP enumerate pe acest site: http://kuttler.eu/code/log-in-a-wordpress-user-programmatically/

Cu siguranță va trebui să folosești un secret partajat și să creezi hash-uri bazate pe timp din acel secret pentru a menține lucrurile sigure. Practic, iată cum ar arăta:

Terța parte trimite o cerere cu un marcaj de timp și un token generat de un secret partajat:

$shared_secret = 'foobar'; //nu trimite acest lucru la punctul final API
$timestamp = time();
$token = md5($shared_secret.$time_stamp);

Instalarea WordPress primește cererea:

$shared_secret = 'foobar';
$timestamp = esc_attr($_GET['timestamp']);

if((time() - $timestamp) > 30) # Pragul este de 30 de secunde
    //fă ceva aici - TOKEN expirat!

$token = md5($share_secret.$timestamp);
$token_to_check = esc_attr($_GET);

if($token == $token_to_check)
    //autentificat!