Как разрешить доступ к WordPress через REST API только для авторизованных пользователей

Введение в ограничение доступа к REST API в WordPress

REST API — мощный инструмент для взаимодействия с сайтом WordPress из внешних приложений и сервисов. Однако, по умолчанию часть эндпоинтов REST API доступна без авторизации, что может представлять риск с точки зрения безопасности и приватности данных. В этой статье мы разберём, как ограничить доступ к REST API только для авторизованных пользователей, чтобы предотвратить несанкционированный доступ к данным сайта.

Ограничение доступа к REST API полезно в случаях, когда вы используете API для управления контентом, но хотите избежать утечки информации или манипуляций со стороны незарегистрированных пользователей.

Ниже рассмотрим несколько вариантов решения задачи с примерами кода, которые легко интегрировать в ваш функционал WordPress.

Как работает REST API и что доступно без авторизации

По умолчанию, WordPress REST API позволяет получать публичные данные сайта (например, список постов, страницы, категории) без необходимости авторизации. Это сделано для удобства — любые внешние сервисы и приложения могут читать открытую информацию.

Однако, для операций записи, обновления и удаления данных API требует авторизации. Несмотря на это, в открытом доступе остаются некоторые эндпоинты, которые можно использовать для сбора информации о сайте.

Чтобы повысить безопасность, рекомендуется ограничить доступ к REST API для неавторизованных пользователей, особенно если на сайте есть приватный контент или административные данные.

Способ 1. Ограничение доступа к REST API через фильтр rest_authentication_errors

Самый простой и эффективный способ — использовать фильтр rest_authentication_errors, который позволяет блокировать запросы к REST API для неавторизованных пользователей.

Добавьте следующий код в файл functions.php вашей темы или в кастомный плагин:

function wplearn_restrict_rest_api_access( $access ) {
    if ( ! is_user_logged_in() ) {
        return new WP_Error(
            'rest_cannot_access',
            'Доступ к REST API разрешён только авторизованным пользователям.',
            array( 'status' => 401 )
        );
    }
    return $access;
}
add_filter( 'rest_authentication_errors', 'wplearn_restrict_rest_api_access' );

Что здесь происходит:

• Если пользователь не авторизован — возвращается ошибка с кодом 401 и сообщением о запрете доступа;
• Если пользователь авторизован — доступ разрешается.

Этот код блокирует все запросы к REST API, кроме тех, что сделаны авторизованными пользователями.

Способ 2. Исключение определённых публичных эндпоинтов из ограничения

Иногда нужно оставить доступ к конкретным публичным эндпоинтам, например, получение списка постов или открытых таксономий, при этом ограничить доступ к другим (например, к пользовательским данным).

Для этого можно расширить предыдущий код, проверяя адрес запроса:

function wplearn_restrict_rest_api_access_with_exceptions( $access ) {
    // Разрешаем публичный доступ к этим эндпоинтам
    $public_routes = array(
        '/wp/v2/posts',
        '/wp/v2/categories',
        '/wp/v2/tags',
    );

    $current_route = isset( $_SERVER['REQUEST_URI'] ) ? $_SERVER['REQUEST_URI'] : '';

    foreach ( $public_routes as $route ) {
        if ( strpos( $current_route, $route ) !== false ) {
            return $access; // Разрешаем доступ
        }
    }

    if ( ! is_user_logged_in() ) {
        return new WP_Error(
            'rest_cannot_access',
            'Доступ к REST API разрешён только авторизованным пользователям.',
            array( 'status' => 401 )
        );
    }

    return $access;
}
add_filter( 'rest_authentication_errors', 'wplearn_restrict_rest_api_access_with_exceptions' );

Таким образом, вы сможете контролировать, какие части API остаются публичными, а какие — закрытыми.

Способ 3. Использование плагина Clearfy для управления доступом к REST API

Если вы предпочитаете готовые решения, можно воспользоваться плагином Clearfy Pro. Он позволяет без кода отключить REST API для неавторизованных пользователей и настроить множество других параметров безопасности и оптимизации.

Преимущества использования Clearfy:

• Простая настройка через интерфейс админки;
• Поддержка исключений и условий;
• Дополнительные функции оптимизации и защиты WordPress.

Это удобный вариант для тех, кто не хочет работать с кодом напрямую.

Способ 4. Продвинутый пример: добавление кастомной проверки capabilities в REST API

Если у вас есть нестандартные роли пользователей или нужно более тонко контролировать доступ, можно добавить проверку capabilities конкретного пользователя.

function wplearn_restrict_rest_api_by_capability( $access ) {
    if ( ! is_user_logged_in() ) {
        return new WP_Error(
            'rest_cannot_access',
            'Требуется авторизация для доступа к REST API.',
            array( 'status' => 401 )
        );
    }
    // Проверяем, имеет ли пользователь capability 'edit_posts'
    if ( ! current_user_can( 'edit_posts' ) ) {
        return new WP_Error(
            'rest_forbidden',
            'Недостаточно прав для доступа к REST API.',
            array( 'status' => 403 )
        );
    }
    return $access;
}
add_filter( 'rest_authentication_errors', 'wplearn_restrict_rest_api_by_capability' );

Этот код позволит получить доступ к REST API только тем пользователям, которые имеют право редактировать записи. Это полезно для ограничения доступа к API администраторам, редакторам и другим ролям с нужными правами.

Советы по безопасности при работе с REST API

Кроме ограничения доступа, рекомендуется:

• Использовать HTTPS для всех запросов к API;
• Проверять права пользователя для каждого кастомного эндпоинта;
• Использовать nonce и аутентификацию с помощью OAuth или JWT, если API используется внешними приложениями;
• Регулярно обновлять WordPress и плагины для устранения уязвимостей.

Заключение

Ограничение доступа к REST API для неавторизованных пользователей — важный шаг для обеспечения безопасности вашего сайта на WordPress. Рассмотренные методы помогут вам быстро и эффективно реализовать эту задачу, а использование плагина Clearfy Pro упростит настройку без необходимости писать код.

Используйте приведённые примеры в зависимости от ваших задач и уровня доступа, и ваш REST API будет работать безопасно и надёжно.