WooCommerce: как реализовать авторизацию пользователя через REST API с подтверждением

Диагностика задачи: зачем нужна авторизация через REST API в WooCommerce

Стандартная авторизация в WooCommerce и WordPress происходит через форму входа на сайте. Однако для мобильных приложений, внешних сервисов или одностраничных приложений (SPA) нужна авторизация через REST API. При этом важно реализовать подтверждение успешного входа и корректную обработку ошибок.

Что проверяем перед реализацией

• Наличие REST API в WordPress и WooCommerce (должно работать из коробки с WordPress 4.7+)
• Подключение к REST API с поддержкой аутентификации — базовой (Basic Auth), OAuth или через JWT
• Возможность создания собственного эндпоинта для авторизации, который вернёт токен или идентификатор сессии

Пошаговое решение: реализация авторизации через REST API с подтверждением

1. Настройка базовой аутентификации для REST API

Для тестирования используйте плагин Application Passwords (стандартно входит в WordPress 5.6+) или Basic Auth с плагином WP REST API - Basic Auth для удобства.

2. Создание собственного REST API эндпоинта для логина пользователя

Добавьте следующий код в файл functions.php вашей темы или в плагин:

add_action('rest_api_init', function () {
    register_rest_route('custom/v1', '/login', [
        'methods' => 'POST',
        'callback' => 'custom_api_user_login',
        'permission_callback' => '__return_true',
    ]);
});

function custom_api_user_login(WP_REST_Request $request) {
    $username = $request->get_param('username');
    $password = $request->get_param('password');

    if (empty($username) || empty($password)) {
        return new WP_REST_Response(['error' => 'Username and password required'], 400);
    }

    $user = wp_authenticate($username, $password);

    if (is_wp_error($user)) {
        return new WP_REST_Response(['error' => 'Invalid username or password'], 401);
    }

    // Создаем JWT или возвращаем данные пользователя
    $data = [
        'ID' => $user->ID,
        'user_login' => $user->user_login,
        'user_email' => $user->user_email,
        'roles' => $user->roles,
        'token' => wp_generate_password(20, false) // пример токена, замените на JWT
    ];

    return new WP_REST_Response($data, 200);
}

Этот код создаёт POST эндпоинт /wp-json/custom/v1/login, который принимает username и password, проверяет их и возвращает ID пользователя, логин, email, роли и сгенерированный токен.

3. Проверка ответа и подтверждение авторизации

При правильных данных вы получите JSON с данными пользователя и токеном. При ошибке — HTTP статус 400 или 401 с сообщением.

Пример запроса с помощью curl:
curl -X POST https://your-site.ru/wp-json/custom/v1/login \
-H "Content-Type: application/json" \
-d '{"username":"user1", "password":"password123"}'

Проверка результата после внедрения

• Отправьте запрос через Postman или curl с корректными и некорректными данными
• Убедитесь, что при верном логине пароль возвращается 200 и данные пользователя в JSON
• При неверных данных — получаете код 401 и сообщение об ошибке
• Проверьте, что токен генерируется и может использоваться для последующих запросов (например, аутентификации другого эндпоинта)

Частые ошибки и как их исправить

• Ошибка 401 при правильных данных: возможно, wp_authenticate не вызывается должным образом или конфликт плагинов. Проверьте, что нет фильтров, которые блокируют аутентификацию.
• Проблемы с CORS при запросах из браузера: добавьте заголовки CORS в ответ REST API для разрешения кросс-доменных запросов.
• Отсутствие SSL: REST API логин без HTTPS небезопасен. Обязательно настройте SSL на сервере.
• Токен в ответе не используется: для полноценной авторизации токен нужно сохранять и проверять в последующих запросах, например, через JWT-плагины.

Практические советы по безопасности и производительности

• Используйте HTTPS для всех REST API вызовов
• Рассмотрите внедрение JWT аутентификации вместо генерации простого токена в примере выше (плагин Clearfy Pro помогает с безопасностью)
• Ограничьте количество попыток логина, чтобы предотвратить brute force
• Кэшируйте ответы REST API, если это возможно, для снижения нагрузки

Сравнение подходов реализации авторизации через REST API