Come convalidare un utente da ouside wordpress / php?

Sto lavorando a un'applicazione Ajax che verrà incorporata in una pagina di wordpress. L'app ajax scambia dati con servlet in esecuzione su Tomcat. Ora i servlet hanno bisogno di un modo per determinare se una richiesta proviene da un utente che ha effettuato l'accesso a wordpress. E se l'utente ha effettuato l'accesso, anche i servlet devono essere in grado di determinare l'id utente per poter interrogare il database. Se l'utente non lo ha registrato, la richiesta verrà rifiutata.

Quindi, in altre parole, devo consentire a un servlet di eseguire una richiesta solo se l'utente che ha causato la richiesta ha effettuato l'accesso a wordpress (versione 3.3.x). Entrambi, servlet (tomcat) e wordpress (apache2) vengono eseguiti sulla stessa macchina fisica e condividono lo stesso database.

In teoria questo potrebbe essere facilmente risolto nel modo seguente:

1. Durante l'accesso a wordpress, alcuni token utente vengono archiviati in una variabile javascript.
2. L'app ajax inoltra l'utente token ai servlet ad ogni chiamata.
3. I servlet usano il token per interrogare wordpress se è valido (cioè se l'utente ha effettuato l'accesso) ed eseguire o rifiutare la richiesta.

La domanda è: come può essere implementato sul lato wordpress?
Perché, ciò che rende la teoria così complicata è il fatto che non ho ancora fatto alcuna programmazione PHP.

Per prima cosa stavo pensando di trasmettere il cookie wordpress_logged_in (auth) al servlet e lasciare che il servlet interroghi wordpress se il cookie di autenticazione è ancora valido. Ma a quanto pare, questo non può essere fatto, poiché wp_validate_auth_cookie () fallisce sempre, anche se i dati dei cookie di un utente connesso vengono passati. Un'altra soluzione potrebbe essere quella di sviluppare un plug-in che memorizzi sessionid e userid in una tabella, che potrebbe essere facilmente interrogata dai servlet. O forse c'è un'altra soluzione ...

WordPress ha già un'API integrata tramite un server XMLRPC. Ciò significa che è possibile effettuare una richiesta XMLRPC dall'app java e verificare un nome utente / password. Sfortunatamente, non c'è modo di autenticarsi così com'è.

Detto questo, è molto facile creare il tuo. Basta agganciare xmlrpc_methods, un filtro e aggiungere il tuo. La chiave dell'array con cui aggiungi sarà il metodo xmlrpc che chiami dalla tua app e il valore sarà la funzione che viene chiamata dal server XMLRPC di WordPress.

<?php
add_filter('xmlrpc_methods', 'wpse39662_add_login_method' );
/**
 * Filters the XMLRPC methods to allow just checking the login/pass of
 * a given users
 */
function wpse39662_add_login_method( $methods )
{
    $methods['wpse39662.login'] = 'wpse39662_check_login';
    return $methods;
}

E la funzione di callback wpse39662_check_login, gli farebbe passare un argomento, l'array di cose inviato al server XMLRPC.

<?php
function wpse39662_check_login( $args )
{
    $username = $args[0];
    $password = $args[1];

    $user = wp_authenticate( $username, $password );

    if( is_wp_error( $user ) )
    {
        return false;
    }
    return true;
}

Ecco tutto questo come plugin . Con quello installato e XMLRPC abilitato sul tuo sito WP, dovresti essere in grado di effettuare richieste con alcuni client XMLRPC (sono sicuro che Java ne abbia uno).

Ecco il codice che ho usato per testare quanto sopra (client XMLRPC Python).

>>> import xmlrpclib as xmlrpc
>>> s = xmlrpc.ServerProxy('http://wordpress.dev/xmlrpc.php')
>>> s.wpse39662.login('admin', 'password')
True

Wordpress (attualmente) controlla se l'utente è ancora connesso controllando uno dei cookie che emette al momento dell'accesso. Costruisce il contenuto di questo cookie facendo un po 'di hashing. I dettagli sono nella funzione "wp_generate_auth_cookie" in /wp-includes/pluggable.php:

function wp_generate_auth_cookie($user_id, $expiration, $scheme = 'auth') {
    $user = get_userdata($user_id);

    $pass_frag = substr($user->user_pass, 8, 4);

    $key = wp_hash($user->user_login . $pass_frag . '|' . $expiration, $scheme);
    $hash = hash_hmac('md5', $user->user_login . '|' . $expiration, $key);

    $cookie = $user->user_login . '|' . $expiration . '|' . $hash;

    return apply_filters('auth_cookie', $cookie, $user_id, $expiration, $scheme);
}

È possibile ricreare questo algoritmo (utilizzando questa e le altre funzioni auth_cookie) nel codice Java per effettuare gli stessi controlli. JS potrebbe essere usato per assicurarsi che il cookie venga inviato al tuo servlet.

Altrimenti XMLRPC potrebbe essere una buona idea. Potresti scrivere un nuovo metodo (come spiegato in un'altra soluzione qui) per convalidare il cookie di autenticazione (invece di convalidare nome utente e password come di solito viene fatto).

Ottieni il plug-in Exec-PHP , quindi crea una pagina WordPress (non un post) con un bel permalink ( http://mysite/user_id/) e il codice sul get_current_user_id()riferimento API :

<?php
$user_id = get_current_user_id();
if ($user_id == 0) {
    echo 'You are currently not logged in.';
} else {
    echo 'You are logged in as user '.$user_id.'.';
}
?>

È quindi possibile estrarre i cookie inviati dal client e inserirli in una GETrichiesta http://127.0.0.1/user_id/. Quindi saprai se l'utente ha effettuato l'accesso e qual è il suo ID utente.

Potresti fare qualcosa del genere nelle pagine non-wp:

<?php
require('./wp-blog-header.php');
// Make sure ^ points to the root of your WP installation

if ( is_user_logged_in() ) {
   // Perform your request here
}

?>

Questo è un plugin WordPress a un file che fa il lavoro:

function yournamespace_validateAuthCookie($cookie, $scheme = 'logged_in') {
    return wp_validate_auth_cookie($cookie, $scheme);
}

function yournamespace_new_xmlrpc_methods($methods) {
    $methods['yournamespace.validateAuthCookie'] = 'yournamespace_validateAuthCookie';
    return $methods;
}
add_filter('xmlrpc_methods', 'yournamespace_new_xmlrpc_methods');

In sostanza espone un nuovo metodo XML-RPC con il quale puoi chiedere a WordPress di convalidare il wordpress_logged_in_...cookie.

È quindi necessario scrivere del codice per interrogare questo metodo e passargli il valore del wordpress_logged_in_...cookie.

Questo metodo restituirà false(se il cookie non viene convalidato) o l'ID utente se la convalida ha esito positivo.