Что такое одноразовые номера WordPress?

• $action : определяет конкретное действие, которое мы выполняем, и должно быть уникальным. Хорошей практикой является добавление префикса к имени вашего действия, так как потенциально может выполняться несколько действий. В этом случае мы что-то сохраняем, поэтому мы использовали implementing_wordpress_nonces_save
• $name : определяет имя скрытого поля, созданного этой функцией. Как и выше, мы добавили к этому имени нашего плагина префикс, поэтому назвали его implementing_wordpress_nonces_nonce

Если мы перезагрузим экран настроек, изменим наше значение и нажмем кнопку Сохранить, вы заметите, что значение все еще меняется. Теперь нам нужно реализовать проверку для одноразового поля, которое было отправлено, используя wp_verify_nonce( $name, $action ) :

Убедитесь, что одноразовый номер является правильным и не имеет срока действия в отношении указанного действия. Функция используется для проверки одноразового номера, отправленного в текущем запросе, к которому обычно обращается переменная PHP $ _REQUEST.

Замените раздел Save Settings функции нашего плагина admin_screen() на код ниже:

 // Save Settings if ( isset( $_REQUEST['implementing_wordpress_nonces'] ) ) { if ( isset( $_REQUEST[ 'implementing_wordpress_nonces_nonce' ] ) && wp_verify_nonce( $_REQUEST[ 'implementing_wordpress_nonces_nonce' ], 'implementing_wordpress_nonces_save' ) ) { update_option( 'implementing_wordpress_nonces', sanitize_text_field( $_REQUEST[ 'implementing_wordpress_nonces' ] ) ); $message = __( 'Settings saved', $this->plugin->name ); } else { // Nonce could not be verified - bail wp_die( __( 'Invalid nonce specified', $this->plugin->name ), __( 'Error', $this->plugin->name ), array( 'response' => 403, 'back_link' => 'admin.php?page=' . $this->plugin->name, ) ); } } 

Этот код выполняет несколько действий:

• Во-первых, он проверяет, что мы отправили что-то.
• Затем он проверяет, существует ли наше поле nonce, и, если это так, пытается проверить значение nonce относительно ожидаемого нами действия.
• Если проверки пройдены, опция обновляется.
• Если проверки не пройдены, мы выдаем ошибку 403 с сообщением «Указан неверный одноразовый номер».

Чтобы убедиться, что наши одноразовые номера создаются и проверяются, давайте попробуем снова обратиться к нашему «вредоносному» прямому URL:
http://127.0.0.1/tuts/wp-admin/admin.php?page=implementing-wordpress-nonces&implementing_wordpress_nonces=abc .

Если наши одноразовые номера реализованы и проверяются, вы увидите уведомление о недействительном указанном одноразовом номере :

Использование одноразовых номеров в AJAX-запросах

Скажем, мы хотим сохранить изменения с помощью вызова AJAX, а не перезагружать весь экран. Мы можем сделать это с помощью нескольких настроек кода.

Сначала давайте загрузим JavaScript в наш плагин и зарегистрируем обработчик AJAX, добавив следующее в нашу __construct() :

 add_action( 'admin_enqueue_scripts', array( &$this, 'admin_scripts_css' ) ); add_action( 'wp_ajax_implementing_wp_nonces', array( &$this, 'admin_ajax_save' ) ); 

В нашем классе добавьте соответствующую функцию admin_scripts_css :

 /** * Register and enqueue any JS and CSS for the WordPress Administration * * @since 1.0.0 */ function admin_scripts_css() { // JS wp_enqueue_script( $this->plugin->name, plugin_dir_url( __FILE__ ) . 'admin.js', array( 'jquery' ), '1.0', true ); } 

Для нашего вызова AJAX добавьте соответствующую функцию admin_ajax_save :

 /** * Saves POSTed settings data * * @since 1.0.0 */ function admin_ajax_save() { // Save option and return 1 update_option( 'implementing_wordpress_nonces', sanitize_text_field( $_REQUEST[ 'implementing_wordpress_nonces' ] ) ); echo 1; die(); } 

Наконец, нам нужно создать новый файл в нашей папке плагинов для нашей подпрограммы JavaScript, которая будет отправлять данные через AJAX при отправке формы. Давайте сделаем это, создав новый файл с именем admin.js , вставив следующее:

 jQuery( document ).ready( function( $ ) { $( 'form#implementing-wordpress-nonces' ).submit( function( e ) { // Prevent form submission e.preventDefault(); // Submit form via AJAX $.post( ajaxurl, // Set by WordPress { 'action': 'implementing_wp_nonces', 'implementing_wordpress_nonces': $( 'input#implementing_wordpress_nonces' ).val() }, function(response) { if ( response ) { alert( 'Settings Saved' ); } } ); }); } ); 

Перезагрузите наш экран настроек, и если все сработает, при отправке формы вы получите на экране подтверждение о том, что настройки сохранены.

Мы можем перезагрузить экран настроек еще раз, чтобы убедиться, что значение обновилось успешно:

 $nonce = wp_create_nonce( 'implementing_wordpress_nonces_ajax_save' ); 

 wp_localize_script( $this->plugin->name, 'implementing_wordpress_nonces', array( 'nonce' => wp_create_nonce( 'implementing_wordpress_nonces_ajax_save' ), ) ); 

 jQuery( document ).ready( function( $ ) { $( 'form#implementing-wordpress-nonces' ).submit( function( e ) { // Prevent form submission e.preventDefault(); // Submit form via AJAX $.post( ajaxurl, // Set by WordPress { 'action': 'implementing_wp_nonces', 'nonce': implementing_wordpress_nonces.nonce, 'implementing_wordpress_nonces': $( 'input#implementing_wordpress_nonces' ).val() }, function(response) { if ( response == 1 ) { alert( 'Settings Saved' ); } else { alert( 'Invalid nonce specified' ); } } ); }); } ); 

 /** * Saves POSTed settings data * * @since 1.0.0 */ function admin_ajax_save() { // Run a security check first. check_ajax_referer( 'implementing_wordpress_nonces_ajax_save', 'nonce' ); // Save option and return 1 update_option( 'implementing_wordpress_nonces', sanitize_text_field( $_REQUEST[ 'implementing_wordpress_nonces' ] ) ); echo 1; die(); }