wordpress - Woocommerce API token 访问级别

Question

我有一个关于 Woocommerce rest-API 和用户访问级别的一般问题。
我们开始基于 Woocommerce-API 开发客户 android 应用程序，我们使用 Woocommerce token (读/写)。
但问题是 token 可以访问 Woocommerce 的全部信息/数据(所有客户订单、产品等)，如果用户反编译 APK 并找到 token ，则他/她可以访问网站的全部数据。
因此，问题是如何根据 token 中的用户角色来限制 API 的访问级别。
例如，客户级别的 token 只能看到她自己的订单、产品、...
以及在 Woocommerce 客户角色上定义的任何访问权限。

Answer 1

您可以使用自定义 API 端点构建 WP 插件，该端点/插件将使用用户凭据从远程 APK 接收 API 调用。
这样，读/写 token 会保留在您的平台上，不会在任何 APK 中公开
当您从远程端收到特定操作时，您在内部使用您的 token 来仅限制将返回给该特定用户的内容，检查他自己的登录凭据(再次在内部)。
这实现起来更复杂(在某种意义上)，但比向 APK 添加 token 要安全得多。