Создание API для единого входа (SSO) с сторонним сайтом

Проблемы межсайтового скриптинга (XSS)

Вы не можете передавать аутентификационные куки WordPress между доменами. Также не рекомендуется хранить пароли в открытом виде для автоматического входа в другую установку WordPress. Поэтому пользователям придётся входить в WordPress, а затем получать статус их входа через API-эндпоинт с третьего сайта. Это позволяет WordPress обрабатывать всю аутентификацию. Такой подход достаточно безопасен, так как пользователь должен физически войти в WordPress, чтобы API-эндпоинт предоставил данные третьей стороне.

Создание API-эндпоинта

Ознакомьтесь с моей статьей: http://coderrr.com/create-an-api-endpoint-in-wordpress/

Также вы можете посмотреть демонстрацию кода здесь: https://gist.github.com/2982319

Вам нужно будет разработать логику под свои нужды, но этот метод позволит создать эндпоинт, через который можно передавать любые данные из WordPress.

Поскольку WordPress используется для аутентификации, можно проверить статус входа через функцию is_user_logged_in(). Если вход выполнен, можно вернуть объект пользователя с необходимыми данными для третьей стороны.

Вход с третьей стороны

С третьего сайта можно добавить ссылку на страницу входа для удобства, используя параметр redirect_to. После входа пользователь будет перенаправлен обратно на сторонний сайт.

http://sub.yourdomain.com/wp-login.php?redirect_to=http%3A%2F%2Fwww.third-party-domain.com

Удалённый вход

Если требуется авторизовывать пользователей в WordPress с третьего сайта, можно использовать функции WordPress, описанные здесь: http://kuttler.eu/code/log-in-a-wordpress-user-programmatically/

Обязательно используйте общий секретный ключ и временные хеши на его основе для безопасности. Примерный процесс выглядит так:

Третья сторона отправляет запрос с временной меткой и токеном, сгенерированным на основе общего секрета:

$shared_secret = 'foobar'; //не передавать этот ключ в API-эндпоинт
$timestamp = time();
$token = md5($shared_secret.$time_stamp);

Установка WordPress получает запрос:

$shared_secret = 'foobar';
$timestamp = esc_attr($_GET['timestamp']);

if((time() - $timestamp) > 30) # Порог 30 секунд
    //здесь можно обработать истёкший токен!

$token = md5($share_secret.$timestamp);
$token_to_check = esc_attr($_GET);

if($token == $token_to_check)
    //аутентификация успешна!