Jak korzystać z WordPressa Nonce

Czym jest WordPress Nonce?

Jak wspomniano w WordPress Codex, WordPress nonce to „liczba użyta raz", aby chronić adresy URL i formularze przed pewnymi rodzajami niewłaściwego użycia, złośliwego lub innego.

Jednorazowa wartość to nic innego jak token zabezpieczający, którego należy używać podczas opracowywania, aby uniknąć ataków CSRF (cross-site request forgery).

Podczas tworzenia motywu lub wtyczki nonce należy używać w formularzu lub w adresie URL. Jako programista WordPress, używanie nonce jest dobrą praktyką.

Jak używać Nonce w formularzu?

Jak wspomniano, nonce jest tokenem zapobiegającym atakom CSRF. Kiedy mamy do czynienia z formularzami, powinniśmy dodać to nonce do naszych formularzy. Aby dodać jednorazową wartość w formularzu, korzystamy z pola ukrytego.

<input type="hidden" name="FIELD_NAME" value="<?php echo wp_create_nonce('NONCE_NAME'); ?>"

W powyższym kodzie zastąp FIELD_NAME i NONCE_NAME dowolnymi, które chcesz.

Sprawdź, czy nieważne?

Po dodaniu numeru jednokrotnego w formularzu należy sprawdzić, czy podanie numeru jednokrotnego jest prawidłowe po przesłaniu formularza. WordPress udostępnia funkcję wp_verify_nonce, aby sprawdzić ważność jednorazową.

if (wp_verify_nonce( $_REQUEST['FIELD_NAME'], 'NONCE_NAME')) {
    //safe to proceed
} else {
    die('Security Check!');
}

Jak używać Nonce w adresie URL

Ataki CSRF mogą również wystąpić na stronie internetowej za pośrednictwem adresów URL. Ponadto w przypadku wrażliwych stron nonce odgrywa ważną rolę. Powiedzmy, że mamy stronę ustawień na stronie internetowej, która zawiera wrażliwe dane, które powinny być chronione. Chcemy również zapobiec atakom CSRF. Więc tworzę jednorazowy adres URL do ustawienia strony, postępując w ten sposób.

<a href="<?php echo wp_nonce_url(get_bloginfo('url').'/settings', 'page-settings', 'setting-nonce'); ?>"></a>

Sprawdź, czy nieważne?

Teraz musimy zweryfikować, czy podanie nonce jest prawidłowe, czy nie. Możemy to zrobić w następujący sposób. Tutaj również używamy funkcji wp_verify_nonce(), aby sprawdzić ważność jednorazową. Dodam poniższy kod na górze strony ustawień.

if (isset($_GET['setting-nonce']) && wp_verify_nonce($_GET['setting-nonce'], 'page-settings')) {
    //safe tp proceed
}

Mam nadzieję, że rozumiesz, jak korzystać z WordPress Nonce. Jeśli masz jakieś pytania lub sugestie, zostaw komentarz poniżej.