Скрытие конечных точек WordPress REST API v2 от публичного просмотра

Можно ли разрешить доступ к конечной точке API только авторизованным пользователям?

Да, вы можете добавить пользовательский callback проверки прав для вашей конечной точки API, который требует аутентификации для просмотра контента. Неавторизованные пользователи получат ответ с ошибкой "code": "rest_forbidden"

Самый простой способ - расширить класс WP_REST_Posts_Controller. Вот очень простой пример:

class My_Private_Posts_Controller extends WP_REST_Posts_Controller {

   /**
   * Пространство имен.
   *
   * @var string
   */
   protected $namespace;

   /**
   * Тип записи для текущего объекта.
   *
   * @var string
   */
   protected $post_type;

   /**
   * Базовый путь REST для текущего объекта.
   *
   * @var string
   */
   protected $rest_base;

  /**
   * Регистрация маршрутов для объектов контроллера.
   * Почти идентично WP_REST_Posts_Controller::register_routes(), но с 
   * пользовательской проверкой прав.
   */
  public function register_routes() {
    register_rest_route( $this->namespace, '/' . $this->rest_base, array(
        array(
            'methods'             => WP_REST_Server::READABLE,
            'callback'            => array( $this, 'get_items' ),
            'permission_callback' => array( $this, 'get_items_permissions_check' ),
            'args'                => $this->get_collection_params(),
            'show_in_index'       => true,
        ),
        array(
            'methods'             => WP_REST_Server::CREATABLE,
            'callback'            => array( $this, 'create_item' ),
            'permission_callback' => array( $this, 'create_item_permissions_check' ),
            'args'                => $this->get_endpoint_args_for_item_schema( WP_REST_Server::CREATABLE ),
            'show_in_index'       => true,
        ),
        'schema' => array( $this, 'get_public_item_schema' ),
    ) );

    register_rest_route( $this->namespace, '/' . $this->rest_base . '/(?P<id>[\d]+)', array(
        array(
            'methods'             => WP_REST_Server::READABLE,
            'callback'            => array( $this, 'get_item' ),
            'permission_callback' => array( $this, 'get_item_permissions_check' ),
            'args'                => array(
                'context' => $this->get_context_param( array( 'default' => 'view' ) ),
            ),
            'show_in_index'       => true,
        ),
        array(
            'methods'             => WP_REST_Server::EDITABLE,
            'callback'            => array( $this, 'update_item' ),
            'permission_callback' => array( $this, 'update_item_permissions_check' ),
            'args'                => $this->get_endpoint_args_for_item_schema( WP_REST_Server::EDITABLE ),
            'show_in_index'       => true,
        ),
        array(
            'methods'             => WP_REST_Server::DELETABLE,
            'callback'            => array( $this, 'delete_item' ),
            'permission_callback' => array( $this, 'delete_item_permissions_check' ),
            'args'                => array(
                'force' => array(
                    'default'     => true,
                    'description' => __( 'Удалить навсегда, минуя корзину.' ),
                ),
            ),
            'show_in_index'       => false,
        ),
        'schema' => array( $this, 'get_public_item_schema' ),
    ) );     
  }

  /**
   * Проверка прав на доступ к списку элементов
   *
   * @param WP_REST_Request $request Полные данные о запросе.
   * @return WP_Error|bool
   */
  public function get_items_permissions_check( $request ) {
    return current_user_can( 'edit_posts' );
  }

}

Обратите внимание, что callback проверки прав function get_items_permissions_check использует current_user_can для определения прав доступа. В зависимости от того, как вы используете API, вам может понадобиться больше узнать о клиентской аутентификации.

Затем вы можете зарегистрировать свой пользовательский тип записи с поддержкой REST API, добавив следующие аргументы в register_post_type:

  /**
   * Регистрация типа записи "Книга" с поддержкой REST API
   *
   * На основе примера из: http://codex.wordpress.org/Function_Reference/register_post_type
   */
  add_action( 'init', 'my_book_cpt' );
  function my_book_cpt() {
    $labels = array(
        'name'               => _x( 'Книги', 'общее название типа записи', 'your-plugin-textdomain' ),
        'singular_name'      => _x( 'Книга', 'название одной записи этого типа', 'your-plugin-textdomain' ),
        'menu_name'          => _x( 'Книги', 'админ-меню', 'your-plugin-textdomain' ),
        'name_admin_bar'     => _x( 'Книга', 'добавить новую в админ-баре', 'your-plugin-textdomain' ),
        'add_new'            => _x( 'Добавить новую', 'книгу', 'your-plugin-textdomain' ),
        'add_new_item'       => __( 'Добавить новую книгу', 'your-plugin-textdomain' ),
        'new_item'           => __( 'Новая книга', 'your-plugin-textdomain' ),
        'edit_item'          => __( 'Редактировать книгу', 'your-plugin-textdomain' ),
        'view_item'          => __( 'Просмотреть книгу', 'your-plugin-textdomain' ),
        'all_items'          => __( 'Все книги', 'your-plugin-textdomain' ),
        'search_items'       => __( 'Искать книги', 'your-plugin-textdomain' ),
        'parent_item_colon'  => __( 'Родительские книги:', 'your-plugin-textdomain' ),
        'not_found'          => __( 'Книги не найдены.', 'your-plugin-textdomain' ),
        'not_found_in_trash' => __( 'В корзине книг не найдено.', 'your-plugin-textdomain' )
    );

    $args = array(
        'labels'             => $labels,
        'description'        => __( 'Описание.', 'your-plugin-textdomain' ),
        'public'             => true,
        'publicly_queryable' => true,
        'show_ui'            => true,
        'show_in_menu'       => true,
        'query_var'          => true,
        'rewrite'            => array( 'slug' => 'book' ),
        'capability_type'    => 'post',
        'has_archive'        => true,
        'hierarchical'       => false,
        'menu_position'      => null,
        'show_in_rest'       => true,
        'rest_base'          => 'books-api',
        'rest_controller_class' => 'My_Private_Posts_Controller',
        'supports'           => array( 'title', 'editor', 'author', 'thumbnail', 'excerpt', 'comments' )
    );

    register_post_type( 'book', $args );
}

Обратите внимание, что rest_controller_class использует My_Private_Posts_Controller вместо стандартного контроллера.

Мне было сложно найти хорошие примеры и объяснения по использованию REST API за пределами официальной документации. Я нашел это отличное объяснение расширения стандартного контроллера, а вот очень подробное руководство по добавлению конечных точек.

Вот что я использовал для полной блокировки REST API для всех пользователей без авторизации:

add_filter( 'rest_api_init', 'rest_only_for_authorized_users', 99 );
function rest_only_for_authorized_users($wp_rest_server){
    if ( !is_user_logged_in() ) {
        wp_die('Извините, у вас нет доступа к этим данным', 'Нечестная игра?', 403);
    }
}

Лучший вариант — отключить новый редактор V5, а затем отключить API JSON, как объясняется здесь.

https://codber.com/2020/05/01/how-to-disable-wordpress-rest-api-to-not-logged-in-user-without-a-plugin/

add_filter( 'rest_api_init', 'rest_only_for_authorized_users', 99 );
function rest_only_for_authorized_users($wp_rest_server)
{
if( !is_user_logged_in() ) 

    wp_die('Извините, у вас нет доступа к этим данным','Требуется аутентификация',403);
} } 
function json_authenticate_handler( $user ) {

global $wp_json_basic_auth_error;

$wp_json_basic_auth_error = null;

// Не аутентифицировать дважды
if ( ! empty( $user ) ) {
    return $user;
}

if ( !isset( $_SERVER['PHP_AUTH_USER'] ) ) {
    return $user;
}

$username = $_SERVER['PHP_AUTH_USER'];
$password = $_SERVER['PHP_AUTH_PW'];


remove_filter( 'determine_current_user', 'json_authenticate_handler', 20 );

$user = wp_authenticate( $username, $password );

add_filter( 'determine_current_user', 'json_authenticate_handler', 20 );

if ( is_wp_error( $user ) ) {
    $wp_json_basic_auth_error = $user;
    return null;
}

$wp_json_basic_auth_error = true;

return $user->ID;}add_filter( 'determine_current_user', 'json_authenticate_handler', 20 );