はじめに

WordPressで独自APIを作ったときなどで、ログインしているユーザーにしか叩いて欲しくないAPIありますよね。
最初は、APIのコードの中でis_user_logged_in()とかやって、ログインしてなかったら弾けばいいや。と思ってましたが、話はそう簡単ではなかった。

WP REST APIの公式の認証の「クッキー認証」ところを読みましたが、結構ハマったので書いておきます。

ちなみに、ここに書いた方法が正しいかどうかはよくわからないけどね...

独自APIの作り方はこちらを参考にしています。

流れ

APIの中ではユーザーがログインしているかどうかは判定できません。（なんでかは分からんけど）
というわけで、WordPressのnonceを使用して、APIを叩く権限があるかどうかチェックしていきます。

今回は管理画面でのみ使用できるAPIを想定して説明します。

nonceを作成


//管理画面用のcssとjsを読み込む
add_action( 'admin_enqueue_scripts', 'load_custom_wp_admin_style' );

function load_custom_wp_admin_style($hook) {
    $apiArgs = [
        'root' => esc_url_raw( rest_url() ), //APIのルートURLが入ってます
        'nonce' => wp_create_nonce( 'wp_rest' ) //nonceの名前は「wp_rest」にします
    ];

    wp_enqueue_script( 'master-js', plugins_url('master.js', __FILE__), ['jquery'], '1.0');
    wp_localize_script( 'master-js', 'WP_API_Settings', $apiArgs );
}

解説

wp_enqueue_scriptの第一引数と、wp_localize_scriptの第一引数を揃えます。
ここで、どのjsファイルに紐付けるか設定しています。

wp_localize_scriptの第二引数WP_API_Settingsは、その名前でオブジェクトを作成しますよと言っています。
wp_localize_scriptの第三引数で、オブジェクトに設定したい値を入れています。

今回は、「wp_rest」という名前でnonceを作成しました。

管理画面の対象のページに移動して、ページのソースを表示して、WP_API_Settingsで検索してみてください。

このような感じで変数が出力されていると思います。
変数が出力されていなかったら、どこか間違っていますので修正してください。

nonceをjs側で使用

続いて、JavaScript側に移ります。


$.ajax({
    url: WP_API_Settings.root + '/wp/v2/test_api',
    type: 'POST',
    beforeSend: function ( xhr ) {
        xhr.setRequestHeader( 'X-WP-Nonce', WP_API_Settings.nonce );
    },
    data: saveData,
})
.done( (data) => {
    alert('成功しました')
})
.fail( (data) => {
    alert('失敗しました')
})

解説

先程、wp_localize_scriptで作成したwp_localize_scriptを使用しています。
nonceは、beforeSendを使ってHTTPのヘッダーとして渡します。

nonceをphp側でチェック

function test() {
    $response = new WP_REST_Response();

    $nonceResult = wp_verify_nonce($_SERVER['HTTP_X_WP_NONCE'], 'wp_rest');
    if(!$nonceResult) {
        $response->set_status(403);
        return $response;
    }
}

解説

wp_verify_nonceでnonceが正しいかチェックしています。

js側でヘッダーにセットした値は、$_SERVER['HTTP_X_WP_NONCE']で取得します。
※php側で受け取るときは、なぜかすべて大文字になりますのでご注意。

最初にwp_restという名前で、nonceを作成したので、同じ名前でチェックします。

まとめ

だいたいWordPressのAPIといえば、記事の取得とか誰が叩いてもOKなのが多いんですけど、そうでない場合もたまにありました。
全部のAPIが管理者しか叩けないようにしたい場合は、APIのフックがあって、そこで管理者かどうかのチェックを入れるコードもググったら出てきました。

途中で諦めそうになった...