Ajaxリクエストごとに一意のナンスを取得するにはどうすればよいですか?


11

Wordpressに後続のAjaxリクエストのための一意のナンスを再生成させることについてのいくつかの議論を見てきましたが、私の人生では、実際にWordpressにそれを実行させることはできません-新しいと思うものをリクエストするたびにノンス、私はワードプレスから同じノンスを取り戻します。私はWPのnonce_lifeの概念を理解し、それを他の何かに設定することさえ理解していますが、それは私を助けませんでした。

ローカリゼーションを介してヘッダーのJSオブジェクトにnonceを生成しません。表示ページで生成します。Ajaxリクエストを処理するためにページを取得できますが、コールバックでWPから新しいノンスをリクエストすると、同じノンスが返され、何が間違っているのかわかりません...最終的にはこれを拡張して、ページに複数のアイテムがあり、それぞれが追加/削除できるようにする-したがって、1つのページからの後続の複数のAjaxリクエストを許可するソリューションが必要です。

(そして、私はこの機能のすべてをプラグインに組み込んだと言うべきです。したがって、フロントエンドの「表示ページ」は実際にはプラグインに含まれている関数です...)

functions.php:ローカライズしますが、ここではナンスを作成しません

wp_localize_script('myjs', 'ajaxVars', array('ajaxurl' => 'admin-ajax.php')));

JSを呼び出す:

$("#myelement").click(function(e) {
    e.preventDefault();
    post_id = $(this).data("data-post-id");
    user_id = $(this).data("data-user-id");
    nonce = $(this).data("data-nonce");
    $.ajax({
      type: "POST",
      dataType: "json",
      url: ajaxVars.ajaxurl,
      data: {
         action: "myfaves",
         post_id: post_id,
         user_id: user_id,
         nonce: nonce
      },
      success: function(response) {
         if(response.type == "success") {
            nonce = response.newNonce;
            ... other stuff
         }
      }
  });
});

PHPの受信:

function myFaves() {
   $ajaxNonce = 'myplugin_myaction_nonce_' . $postID;
   if (!wp_verify_nonce($_POST['nonce'], $ajaxNonce))
      exit('Sorry!');

   // Get various POST vars and do some other stuff...

   // Prep JSON response & generate new, unique nonce
   $newNonce = wp_create_nonce('myplugin_myaction_nonce_' . $postID . '_' 
       . str_replace('.', '', gettimeofday(true)));
   $response['newNonce'] = $newNonce;

   // Also let the page process itself if there is no JS/Ajax capability
   } else {
      header("Location: " . $_SERVER["HTTP_REFERER"];
   }
   die();
}

フロントエンドPHP表示関数。

$nonce = wp_create_nonce('myplugin_myaction_nonce_' . $post->ID);
$link = admin_url('admin-ajax.php?action=myfaves&post_id=' . $post->ID
   . '&user_id=' . $user_ID
   . '&nonce=' . $nonce);

echo '<a id="myelement" data-post-id="' . $post->ID
   . '" data-user-id="' . $user_ID
   . '" data-nonce="' . $nonce
   . '" href="' . $link . '">My Link</a>';

この時点で、WPに新しいAjaxリクエストごとに一意のナンスを再生成させる手がかりやポインタに本当に感謝しています ...


更新:私は問題を解決しました。上記のコードスニペットは有効ですが、PHPコールバックで$ newNonceの作成を変更して、マイクロ秒の文字列を追加し、後続のAjaxリクエストで一意になるようにしました。


非常に簡単に見:あなたは(ディスプレイ上)それを受け取った後、あなたはナンスを作成していますか?ローカライズの呼び出し中になぜそれを作成しないのですか?
カイザー2013年

jQueryはa#myelementリンクの「data-nonce」属性からの最初のノンスを使用しており、ページはAjaxまたはそれ自体で処理できるという考え方です。localize呼び出しを介してnonceを一度作成すると、それを非JS処理から除外するように思えましたが、それは間違っている可能性があります。どちらの方法でも、Wordpressは同じノンスを返します...
Tim

また、ローカライズ呼び出しにナンスを入れると、各アイテムがAjaxリクエストに対して一意のナンスを持つ可能性があるページに複数のアイテムを配置できなくなりますか?
Tim

ローカライズ内でナンスを作成すると、それが作成され、その1つのスクリプトで使用できるようになります。ただし、別のノンスを使用して、他の(名前付きの)ローカライズ値を無制限に追加することもできます。
カイザー2013年

あなたがそれを解決したならば、あなたはあなたの答えを投稿して、それを「受け入れられた」とマークするのが奨励されます。それはサイトを整理しておくのに役立ちます。私はあなたのコードをいじっていて、いくつかのことが私にはうまくいかないので、あなたの解決策を投稿するためにあなたのリクエストを倍増させてください。
s_ha_dum 2013

回答:


6

これは、私自身の質問の非常に長い回答です。これは、後続のAjaxリクエストに対して一意のナンスを生成するという問題に対処するだけではありません。これは、回答のために一般化された「お気に入りに追加」機能です(この機能により、ユーザーは写真の添付ファイルの投稿IDをお気に入りのリストに追加できますが、これは、他のさまざまな機能に適用できます。 Ajax)。これをスタンドアロンプ​​ラグインとしてコーディングしましたが、いくつかの項目が不足しています-しかし、これは、機能を複製する場合に要点を提供するのに十分な詳細になるはずです。個々の投稿/ページで機能しますが、投稿のリストでも機能します(たとえば、Ajaxを介してインラインでアイテムをお気に入りに追加/削除でき、各投稿には、Ajaxリクエストごとに固有のナンスがあります)。あることに留意してください

scripts.php

/**
* Enqueue front-end jQuery
*/
function enqueueFavoritesJS()
{
    // Only show Favorites Ajax JS if user is logged in
    if (is_user_logged_in()) {
        wp_enqueue_script('favorites-js', MYPLUGIN_BASE_URL . 'js/favorites.js', array('jquery'));
        wp_localize_script('favorites-js', 'ajaxVars', array('ajaxurl' => admin_url('admin-ajax.php')));
    }
}
add_action('wp_enqueue_scripts', 'enqueueFavoritesJS');

favourites.js(削除可能多くのデバッグ機能)

$(document).ready(function()
{
    // Toggle item in Favorites
    $(".faves-link").click(function(e) {
        // Prevent self eval of requests and use Ajax instead
        e.preventDefault();
        var $this = $(this);
        console.log("Starting click event...");

        // Fetch initial variables from the page
        post_id = $this.attr("data-post-id");
        user_id = $this.attr("data-user-id");
        the_toggle = $this.attr("data-toggle");
        ajax_nonce = $this.attr("data-nonce");

        console.log("data-post-id: " + post_id);
        console.log("data-user-id: " + user_id);
        console.log("data-toggle: " + the_toggle);
        console.log("data-nonce: " + ajax_nonce);
        console.log("Starting Ajax...");

        $.ajax({
            type: "POST",
            dataType: "json",
            url: ajaxVars.ajaxurl,
            data: {
                // Send JSON back to PHP for eval
                action : "myFavorites",
                post_id: post_id,
                user_id: user_id,
                _ajax_nonce: ajax_nonce,
                the_toggle: the_toggle
            },
            beforeSend: function() {
                if (the_toggle == "y") {
                    $this.text("Removing from Favorites...");
                    console.log("Removing...");
                } else {
                    $this.text("Adding to Favorites...");
                    console.log("Adding...");
                }
            },
            success: function(response) {
                // Process JSON sent from PHP
                if(response.type == "success") {
                    console.log("Success!");
                    console.log("New nonce: " + response.newNonce);
                    console.log("New toggle: " + response.theToggle);
                    console.log("Message from PHP: " + response.message);
                    $this.text(response.message);
                    $this.attr("data-toggle", response.theToggle);
                    // Set new nonce
                    _ajax_nonce = response.newNonce;
                    console.log("_ajax_nonce is now: " + _ajax_nonce);
                } else {
                    console.log("Failed!");
                    console.log("New nonce: " + response.newNonce);
                    console.log("Message from PHP: " + response.message);
                    $this.parent().html("<p>" + response.message + "</p>");
                    _ajax_nonce = response.newNonce;
                    console.log("_ajax_nonce is now: " + _ajax_nonce);
                }
            },
            error: function(e, x, settings, exception) {
                // Generic debugging
                var errorMessage;
                var statusErrorMap = {
                    '400' : "Server understood request but request content was invalid.",
                    '401' : "Unauthorized access.",
                    '403' : "Forbidden resource can't be accessed.",
                    '500' : "Internal Server Error",
                    '503' : "Service Unavailable"
                };
                if (x.status) {
                    errorMessage = statusErrorMap[x.status];
                    if (!errorMessage) {
                        errorMessage = "Unknown Error.";
                    } else if (exception == 'parsererror') {
                        errorMessage = "Error. Parsing JSON request failed.";
                    } else if (exception == 'timeout') {
                        errorMessage = "Request timed out.";
                    } else if (exception == 'abort') {
                        errorMessage = "Request was aborted by server.";
                    } else {
                        errorMessage = "Unknown Error.";
                    }
                    $this.parent().html(errorMessage);
                    console.log("Error message is: " + errorMessage);
                } else {
                    console.log("ERROR!!");
                    console.log(e);
                }
            }
        }); // Close $.ajax
    }); // End click event
});

関数(フロントエンドディスプレイとAjaxアクション)

[お気に入りの追加/削除]リンクを出力するには、ページ/投稿で次のように呼び出します。

if (function_exists('myFavoritesLink') {
    myFavoritesLink($user_ID, $post->ID);
}

フロントエンド表示機能:

function myFavoritesLink($user_ID, $postID)
{
    global $user_ID;
    if (is_user_logged_in()) {
        // Set initial element toggle value & link text - udpated by callback
        $myUserMeta = get_user_meta($user_ID, 'myMetadata', true);
        if (is_array($myUserMeta['metadata']) && in_array($postID, $myUserMeta['metadata'])) {
            $toggle = "y";
            $linkText = "Remove from Favorites";
        } else {
            $toggle = "n";
            $linkText = "Add to Favorites";
        }

        // Create Ajax-only nonce for initial request only
        // New nonce returned in callback
        $ajaxNonce = wp_create_nonce('myplugin_myaction_' . $postID);
        echo '<p class="faves-action"><a class="faves-link"' 
            . ' data-post-id="' . $postID 
            . '" data-user-id="' . $user_ID  
            . '" data-toggle="' . $toggle 
            . '" data-nonce="' . $ajaxNonce 
            . '" href="#">' . $linkText . '</a></p>' . "\n";

    } else {
        // User not logged in
        echo '<p>Sign in to use the Favorites feature.</p>' . "\n";
    }

}

Ajaxアクション関数:

/**
* Toggle add/remove for Favorites
*/
function toggleFavorites()
{
    if (is_user_logged_in()) {
        // Verify nonce
        $ajaxNonce = 'myplugin_myaction' . $_POST['post_id'];
        if (! wp_verify_nonce($_POST['_ajax_nonce'], $ajaxNonce)) {
            exit('Sorry!');
        }
        // Process POST vars
        if (isset($_POST['post_id']) && is_numeric($_POST['post_id'])) {
            $postID = $_POST['post_id'];
        } else {
            return;
        }
        if (isset($_POST['user_id']) && is_numeric($_POST['user_id'])) {
            $userID = $_POST['user_id'];
        } else {
            return;
        }
        if (isset($_POST['the_toggle']) && ($_POST['the_toggle'] === "y" || $_POST['the_toggle'] === "n")) {
            $toggle = $_POST['the_toggle'];
        } else {
            return;
        }

        $myUserMeta = get_user_meta($userID, 'myMetadata', true);

        // Init myUserMeta array if it doesn't exist
        if ($myUserMeta['myMetadata'] === '' || ! is_array($myUserMeta['myMetadata'])) {
            $myUserMeta['myMetadata'] = array();
        }

        // Toggle the item in the Favorites list
        if ($toggle === "y" && in_array($postID, $myUserMeta['myMetadata'])) {
            // Remove item from Favorites list
            $myUserMeta['myMetadata'] = array_flip($myUserMeta['myMetadata']);
            unset($myUserMeta['myMetadata'][$postID]);
            $myUserMeta['myMetadata'] = array_flip($myUserMeta['myMetadata']);
            $myUserMeta['myMetadata'] = array_values($myUserMeta['myMetadata']);
            $newToggle = "n";
            $message = "Add to Favorites";
        } else {
            // Add item to Favorites list
            $myUserMeta['myMetadata'][] = $postID;
            $newToggle = "y";
            $message = "Remove from Favorites";
        }

        // Prep for the response
        // Nonce for next request - unique with microtime string appended
        $newNonce = wp_create_nonce('myplugin_myaction_' . $postID . '_' 
            . str_replace('.', '', gettimeofday(true)));
        $updateUserMeta = update_user_meta($userID, 'myMetadata', $myUserMeta);

        // Response to jQuery
        if($updateUserMeta === false) {
            $response['type'] = "error";
            $response['theToggle'] = $toggle;
            $response['message'] = "Your Favorites could not be updated.";
            $response['newNonce'] = $newNonce;
        } else {
            $response['type'] = "success";
            $response['theToggle'] = $newToggle;
            $response['message'] = $message;
            $response['newNonce'] = $newNonce;
        }

        // Process with Ajax, otherwise process with self
        if (! empty($_SERVER['HTTP_X_REQUESTED_WITH']) && 
            strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest') {
                $response = json_encode($response);
                echo $response;
        } else {
            header("Location: " . $_SERVER["HTTP_REFERER"]);
        }
        exit();
    } // End is_user_logged_in()
}
add_action('wp_ajax_myFavorites', 'toggleFavorites');

3

各ajaxリクエストに対して新しいnonceを取得する背後にある理由に本当に疑問を投げかけなければなりません。元のノンスは期限切れになりますが、期限が切れるまで複数回使用できます。JavaScriptがajaxを介してそれを受け取るようにすることは、特にエラーの場合にそれを提供するという目的に反します。(nonceの目的は、時間枠内でアクションをユーザーに関連付けるための小さなセキュリティです。)

他の回答について言及するつもりはありませんが、私は新しく、上記のコメントはできません。そのため、投稿された「解決策」に関して、毎回新しいノンスを取得していますが、リクエストでそれを使用していません。そのように作成されたそれぞれの新しいノンスと一致するように毎回同じマイクロ秒を取得することは確かに難しいでしょう。PHPコードは元のノンスを検証しており、JavaScriptは元のノンスを提供しているので、動作します(まだ期限が切れていないため)。


1
問題は、nonceが使用された後に期限切れになり、毎回ajax関数で-1を返すことです。これは、PHPでフォームの一部を検証していて、印刷時にエラーを返す場合に問題になります。フォームnonceが使用されましたが、実際にはフィールドのPHP検証でエラーが発生し、フォームが再度送信されると、今回は検証できず、check_ajax_referer-1が返されます。
Solomon Closson 2016年
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.