AJAX nonce с использованием check_ajax_referer()

Трудно сказать наверняка, где именно ошибка, так как вы не упомянули о вашем add_action('wp_ajax_my_function','whatever_callback');, что, как я думаю, вы упустили. Но ваш вопрос не хватает информации в этом отношении.

Вот как бы я подошел к решению:

В вашем файле functions.php или аналогичном:

add_action(wp_ajax_handle_login, 'handle_login_ajax');
add_action(wp_ajax_nopriv_handle_login, 'handle_login_ajax');

Убедитесь, что ваш файл handle-login.php подключен в основном php-файле вашего плагина или темы, например в functions.php

require_once plugin_dir_path(__FILE__) . 'handle-login.php';

Вам следует объявить переменные nonce и URL для AJAX сразу после подключения вашего js-файла, чтобы иметь к ним доступ:

wp_enqueue_script('wccajs',plugin_dir_url( dirname(__FILE__) ) . 'login.js',array('jquery'),'1.0',false);

wp_localize_script('wccajs','MyAjax',array( 
    'ajax_url' => admin_url( 'admin-ajax.php' ),
    'security' => wp_create_nonce('handle_login')
) );

В вашем файле handle-login.php:

function handle_login_ajax(){
    check_ajax_referer('handle_login', 'security');
    $return = array();
    echo $return;
    wp_die(); // Вы также пропустили это
}

Ваш Javascript файл:

function send_stuff_to_server(){

var data = {
    'action': 'handle_login', // пропущено, должно совпадать с вашим хуком действия wp_ajax_{handle_login}
    'security': MyAjax.security // Мы можем получить доступ к нему таким образом
}

$.post(MyAjax.ajax_url, data, function (callBack) {
      console.log(callBack); // Вернет nonce
});

}

Надеюсь, это поможет.

У меня были такие же проблемы, и я решил их, используя другую связанную AJAX-функцию: Просто заменив ваш

check_ajax_referer( 'login_nonce', $_POST['security'], false )

на

wp_verify_nonce( $_POST['security'], 'login_nonce' )

вроде бы работает и возвращает true/false корректно. Что касается того, какой способ безопаснее, я нашел вот эту информацию:

wp_verify_nonce vs check_admin_referer

В методе check_ajax_referer() второй параметр — это не значение nonce, а ключ параметра POST-запроса.

check_ajax_referer( 'login_nonce', 'security', false );