wordpress - 使用社交登录 (OAuth) 验证自定义 WP API 端点

Question

我将 Wordpress + WooCommerce 与 WP-API 结合使用作为我的移动电子商务应用程序的后端。

我的目标是在应用程序内提供一些社交登录(通过 Facebook、Twitter、Google 等)来注册/登录，然后使用 WooCommerce API 接收例如该经过身份验证的用户的所有订单。

目前我的计划是:

1. 使用一些客户端 SDK，以便用户可以使用他的 FB 帐户登录
2. 从第 1 步我得到例如发送到自定义端点以将用户添加到 Wordpress DB 的用户名、电子邮件和 FB ID(例如 https://github.com/royboy789/wp-api-social-login )
3. 使用 WP-API 为订单创建自定义端点(例如:.../orders)
4. 在端点函数内检查用户是否经过身份验证
5. 如果用户通过身份验证，端点将使用 WooCommerce API 包装器返回用户的订单(https://github.com/kloon/WooCommerce-REST-API-Client-Library)

但是我在#3 上遇到了困难，因为我真的不知道如何检查用户是否经过身份验证。

我考虑过创建另一个端点来联系 OAuth 授权服务器以检查用户的凭据，例如使用Facebook 的访问 token 。如果检查有效，我将使用用户 ID、电子邮件等的一些哈希值为我的 API 创建一个自定义访问 token ，并将其发送回客户端应用程序。然后，此访问 token 用于对我的 API 的每次调用，然后从哈希 token 中读出用户 ID 并返回，例如该用户的所有订单。

但不知怎的，这感觉不太对劲。特别是因为这样我就可以创建一个无尽的活访问 token ......

Answer 1

完成#2 后，来自 WP 的 HTTP 响应将包含身份验证 cookie:请参阅 https://github.com/royboy789/wp-api-social-login/blob/master/inc/social-routes.php#L31在问题指向的示例中。

不确定您在应用程序中使用的 HTTP 库，但如果您保存响应中收到的 cookie，并在对服务器的所有后续请求中重用它们，则应注意身份验证:您不需要额外的检查/访问点，因为登录/注册会自动使用户登录，并且标准 WP cookie 检查负责对新请求的验证。