ouside wordpress / phpからユーザーを検証する方法は？

私はワードプレスページに埋め込まれるajaxアプリケーションに取り組んでいます。ajaxアプリは、tomcatで実行されているサーブレットとデータを交換します。これで、サーブレットには、ワードプレスにログインしているユーザーからのリクエストかどうかを判別する方法が必要になります。また、ユーザーがログインしている場合、サーブレットは、データベースを照会できるようにするために、ユーザーIDも判別できる必要があります。ユーザーがログインしていない場合、リクエストは拒否されます。

つまり、言い換えると、リクエストを引き起こしたユーザーがwordpress（バージョン3.3.x）にログインしている場合にのみ、サーブレットにリクエストを実行させる必要があります。サーブレット（tomcat）とワードプレス（apache2）の両方が同じ物理マシンで実行され、同じデータベースを共有します。

理論的には、これは次のようにすることで簡単に解決できます。

1. ワードプレスログオン中に、一部のユーザートークンがJavaScript変数に保存されます。
2. ajaxアプリは、呼び出しのたびにユーザートークンをサーブレットに転送します。
3. サーブレットは、トークンを使用して有効な場合（つまり、ユーザーがログインしている場合）にワードプレスにクエリを実行し、要求を実行または拒否します。

問題は、ワードプレス側でこれをどのように実装できるかということです。
理論が非常に複雑になるのは、私がまだPHPプログラミングを行っていないという事実だからです。

最初に、wordpress_logged_in（auth）cookieをサーブレットに送信し、auth cookieがまだ有効である場合はサーブレットにwordpressを照会させることを考えていました。しかし、ログオンしているユーザーのcookie-dataが渡されたとしても、wp_validate_auth_cookie（）は常に失敗するため、これは実行できないようです。他の解決策は、セッションIDとユーザーIDをテーブルに格納するプラグインを開発することです。これは、サーブレットから簡単にクエリできるようになります。または多分他の解決策があります...

WordPressにはすでにXMLRPCサーバーを介してAPIが組み込まれています。つまり、JavaアプリからXMLRPCリクエストを行い、ユーザー名/パスワードを確認できます。残念ながら、そのまま認証する方法はありません。

とはいえ、自分でロールするのは非常に簡単です。xmlrpc_methodsフィルターにフックして、自分のものを追加するだけです。追加する配列キーは、アプリから呼び出すxmlrpcメソッドであり、値はWordPress XMLRPCサーバーによって呼び出される関数になります。

<?php
add_filter('xmlrpc_methods', 'wpse39662_add_login_method' );
/**
 * Filters the XMLRPC methods to allow just checking the login/pass of
 * a given users
 */
function wpse39662_add_login_method( $methods )
{
    $methods['wpse39662.login'] = 'wpse39662_check_login';
    return $methods;
}

そして、コールバック関数はwpse39662_check_login、それに渡される1つの引数、XMLRPCサーバーに送信されるものの配列を取得します。

<?php
function wpse39662_check_login( $args )
{
    $username = $args[0];
    $password = $args[1];

    $user = wp_authenticate( $username, $password );

    if( is_wp_error( $user ) )
    {
        return false;
    }
    return true;
}

これがプラグインとしてのすべてです。これがインストールされ、WPサイトでXMLRPCが有効になっていると、いくつかのXMLRPCクライアントでリクエストを行うことができるはずです（Javaにあるはずです）。

これは、上記のテストに使用したコードです（Python XMLRPCクライアント）。

>>> import xmlrpclib as xmlrpc
>>> s = xmlrpc.ServerProxy('http://wordpress.dev/xmlrpc.php')
>>> s.wpse39662.login('admin', 'password')
True

WordPress（現在）は、ユーザーがまだログインしているかどうかを、ログイン時に提供されるCookieの1つをチェックすることによってチェックします。ハッシュを行うことにより、このCookieのコンテンツを構築します。詳細は/wp-includes/pluggable.phpの「wp_generate_auth_cookie」関数にあります：

function wp_generate_auth_cookie($user_id, $expiration, $scheme = 'auth') {
    $user = get_userdata($user_id);

    $pass_frag = substr($user->user_pass, 8, 4);

    $key = wp_hash($user->user_login . $pass_frag . '|' . $expiration, $scheme);
    $hash = hash_hmac('md5', $user->user_login . '|' . $expiration, $key);

    $cookie = $user->user_login . '|' . $expiration . '|' . $hash;

    return apply_filters('auth_cookie', $cookie, $user_id, $expiration, $scheme);
}

Javaコードでこのアルゴリズムを再作成し（これと他のauth_cookie関数を使用）、同じチェックを行うことができます。JSを使用して、Cookieがサーブレットに送信されることを確認できます。

それ以外の場合、XMLRPCは良いアイデアかもしれません。（ここで別のソリューションで説明されているように）認証Cookieを検証するための新しいメソッドを（通常はユーザー名とパスワードを検証する代わりに）作成できます。

Exec-PHPプラグインを取得し、素敵なパーマリンク（http://mysite/user_id/）とget_current_user_id()APIリファレンスのコードを使用して（投稿ではなく）WordPressページを作成します。

<?php
$user_id = get_current_user_id();
if ($user_id == 0) {
    echo 'You are currently not logged in.';
} else {
    echo 'You are logged in as user '.$user_id.'.';
}
?>

その後、クライアントから送信されたCookieを抽出して、のGETリクエストに含めることができますhttp://127.0.0.1/user_id/。次に、ユーザーがログインしているかどうか、およびユーザーIDを確認します。

あなたは非WPページでこのようなことをすることができます：

<?php
require('./wp-blog-header.php');
// Make sure ^ points to the root of your WP installation

if ( is_user_logged_in() ) {
   // Perform your request here
}

?>

これは、仕事をする1ファイルのWordPressプラグインです。

function yournamespace_validateAuthCookie($cookie, $scheme = 'logged_in') {
    return wp_validate_auth_cookie($cookie, $scheme);
}

function yournamespace_new_xmlrpc_methods($methods) {
    $methods['yournamespace.validateAuthCookie'] = 'yournamespace_validateAuthCookie';
    return $methods;
}
add_filter('xmlrpc_methods', 'yournamespace_new_xmlrpc_methods');

これは基本的に、wordpress_logged_in_...Cookieの検証をWordPressに要求できる新しいXML-RPCメソッドを公開します。

次に、このメソッドをクエリしてwordpress_logged_in_...Cookieの値を渡すためのコードを記述する必要があります。

このメソッドはfalse、Cookieが検証されない場合）または検証が成功した場合はユーザーID を返します。