Diferența dintre wp_verify_nonce și check_admin_referer în WordPress

NU! ATENȚIE !!!

Nu te baza pe check_admin_referer() fără parametri corecți! Pentru că, în unele cazuri poate să nu apeleze die() (contrar așteptărilor tale), ci va returna doar răspunsul false.

Uită-te la comportamentul descris al logicii din codul sursă:

function check_admin_referer( $action = -1, $query_arg = '_wpnonce' ) {
    $result   = isset( $_REQUEST[ $query_arg ] ) ? wp_verify_nonce( $_REQUEST[ $query_arg ], $action ) : false;

    //Acum, "verificarea die()"
    if ( ! $result && ( -1 !== $action || strpos( wp_get_referer(), admin_url() ) !== 0 ) ) {
        die();
    }
    return $result;
}

Așadar, trebuie să înțelegi ce face logica. Iată o defalcare:

A) dacă apelezi doar check_admin_referrer() fără parametri:

• ȚINE MINTE, va folosi valoarea implicită _wpnonce (care este sigură, dar totuși asigură-te că ai exact acel câmp la trimitere).
• Deoarece ai apelat-o fără parametri, folosește valoarea implicită -1 pentru acțiune, ceea ce face ca verificarea die() să fie sărită și funcția nu va apela die()
• Prin urmare, ar trebui să folosești întotdeauna (când apelezi fără parametri):

if ( check_admin_referer() ) exit;

B) dacă vrei ca check_admin_referrer să apeleze die automat, atunci ar trebui să creezi întotdeauna nonce-urile tale și să o apelezi cu parametri:

check_admin_referrer($action_name, $name_field );