Настройка аутентификации WordPress через внешний API

Question

Настройка аутентификации WordPress через внешний API

31 мая 2017 г., 12:39:54

Просмотры: 20.9K

Голосов: 9

Есть существующий не-WordPress сайт, и мне нужно, чтобы их пользователи могли входить на мой новый сайт WordPress, используя те же учетные данные, которые у них уже есть.

Мне предоставили конечную точку (www.example-api.com/token) и учетные данные для входа (email и пароль), которые возвращают токен (и другие детали) в качестве ответа.

Я читал про OAuth, и большинство ресурсов, которые я нахожу, описывают обратную ситуацию (вход на не-WordPress сайт с использованием учетных данных WordPress). У меня нет доступа к другому сайту, и я вижу, что там нужна настройка, так что, стоит ли мне отказаться от этого варианта?

Я натолкнулся на возможность переопределения wp_authenticate через пользовательский плагин, который я уже настроил, но я в замешательстве относительно того, что и КАК именно нужно сделать.

Есть ли какие-либо рекомендации или подсказки по этому поводу?

Suika

313

api аутентификация

Комментарии

В настоящее время я не вижу никакого осуществимого способа сделать это без двери (интерфейса) с сайта, не работающего на WordPress. Иначе: где вам нужно подтверждать, что учетные данные, отправленные пользователями с не-WP сайта, действительно правильные и соответствуют конкретному пользователю? Надеюсь, вы понимаете!

nyedidikeke

31 мая 2017 г. 14:17:35

Думаю, я недостаточно четко выразился – у меня был доступ к конечной точке (endpoint), а также тестовые данные с email-адресами и паролями аккаунтов, которые мне нужны. Впрочем, я уже сделал это, сейчас опубликую. Спасибо за помощь! :)

Suika

5 июн. 2017 г. 12:58:54

Все ответы на вопрос

Комментарии

Итак, вы реализовали своего рода SSO, что действительно единственный правильный подход. Но фраза "если пользователь не существует, создайте учетную запись" звучит очень неправильно. Любая атака методом грубой силы в некотором масштабе может положить ваш WordPress

Mark Kaplun

6 июн. 2017 г. 05:49:52

Можете объяснить подробнее? У меня сложилось впечатление, что мне нужно создавать локального пользователя WordPress, поскольку в руководстве, которому я следовал (первая ссылка), явно сказано: "WordPress требует, чтобы реальный пользователь (пользователь WordPress) присутствовал в базе данных WordPress для выполнения операций с этим пользователем."

Я создаю нового пользователя только если ответ API указывает на это, и регистрирую их, используя их email и пароль из API.

Suika

6 июн. 2017 г. 06:00:32

Возможно, это просто неточность в вашем описании или мое недопонимание, но звучит так, будто вы создаете пользователя при каждом запросе "проверки".

Mark Kaplun

6 июн. 2017 г. 07:43:09

О, кажется, я понял... вы аутентифицируете пользователей WordPress через другой сайт. В таком случае ваша логика верна

Mark Kaplun

6 июн. 2017 г. 07:46:24

Понял. Да, вероятно, дело в формулировке. Я отредактирую, чтобы сделать понятнее. Спасибо!

Suika

6 июн. 2017 г. 09:06:50

Показать остальные 4 комментариев

Suika 313 · Accepted Answer · 2017-06-06T05:32:41Z

Обновление: Создал пост в блоге, чтобы объяснить это подробнее :)

Мне удалось реализовать это с помощью фильтра WP authenticate внутри нового плагина; большая часть основана на этом руководстве от Бена Лобо. Основные моменты плагина:

Создать функцию API-вызова с помощью cURL (если не знакомы, можно получить пример кода из Postman при тестировании).
Добавить фильтр, проверяющий, что ответ от API подтверждает существование пользователя и его доступ (в моем случае — на основе роли).
В том же фильтре проверить, есть ли у пользователя аккаунт на сайте WP — если нет, создать его через wp_insert_user. Для ясности: я использовал email и пароль, проверенные API, потому что WP требует зарегистрированного пользователя в своей базе.
Если пользователь уже есть в базе WP, убедиться, что его данные актуальны, используя wp_update_user. Это нужно для случаев, например, когда пользователь изменил свои данные на основном (не-WP) сайте.
Опционально добавить страницу настроек плагина. В моем случае я создал поле для URL запроса, следуя этому руководству от Бхарата Парика.