Наступление авторизации в WordPress с помощью OAuth2: практическое руководство

Автор: Ярослав Смирнов | Опубликовано: 12.11.2025

В современном мире безопасность и удобство авторизации становятся ключевыми аспектами при разработке сайтов на WordPress. Стандартные методы авторизации через форму логина и пароля зачастую недостаточны для сложных проектов и интеграций с внешними сервисами. В этом материале мы подробно разберём, как реализовать авторизацию в WordPress с помощью протокола OAuth2, который является современным стандартом для безопасного доступа к API и сервисам.

Что такое OAuth2 и зачем он нужен в WordPress

OAuth2 — это протокол авторизации, позволяющий сторонним приложениям получать ограниченный доступ к ресурсам пользователя без передачи пароля. В контексте WordPress это означает возможность безопасной аутентификации пользователей и предоставления доступа к API сайта или интеграции с внешними сервисами, например, Google, Facebook, Twitter и другими.

Использование OAuth2 улучшает безопасность, так как пользователь не передаёт пароль напрямую, а также упрощает процесс входа, позволяя использовать уже существующие аккаунты с популярных платформ.

Для разработчика WordPress это отличный способ расширить функционал сайта, организовать единый вход (SSO), а также интегрировать собственные мобильные приложения и внешние сервисы.

Основные подходы к реализации OAuth2 в WordPress

Существует несколько способов внедрить поддержку OAuth2 в WordPress:

Использовать готовые плагины, реализующие серверную или клиентскую часть OAuth2.
Создать собственный плагин для выдачи и проверки токенов доступа с помощью встроенных хуков и REST API.
Интегрировать WordPress с внешним OAuth2 провайдером (Google, Facebook и т.д.), используя плагины для соцавторизации.

Далее рассмотрим популярные плагины и пример реализации собственного OAuth2 сервера на WordPress.

Как создать собственный OAuth2 сервер в WordPress: пример кода

Если вы хотите реализовать кастомное решение, можно написать плагин, который будет обрабатывать запросы на выдачу токенов и проверять их. Ниже пример минимального кода, который создаст endpoint для выдачи токена с использованием grant_type "password".

<?php
/**
 * Plugin Name: WPTavern OAuth2 Server
 */

add_action('rest_api_init', function () {
    register_rest_route('wptavern/v1', '/token', array(
        'methods' => 'POST',
        'callback' => 'wptavern_oauth2_issue_token',
        'permission_callback' => '__return_true',
    ));
});

function wptavern_oauth2_issue_token(WP_REST_Request $request) {
    $grant_type = $request->get_param('grant_type');
    $username = $request->get_param('username');
    $password = $request->get_param('password');

    if ($grant_type !== 'password') {
        return new WP_Error('unsupported_grant_type', 'Unsupported grant_type', array('status' => 400));
    }

    $user = wp_authenticate($username, $password);

    if (is_wp_error($user)) {
        return new WP_Error('invalid_credentials', 'Invalid username or password', array('status' => 401));
    }

    // Генерируем простой токен доступа
    $token = bin2hex(random_bytes(16));

    // Сохраняем токен в пользовательских мета данных
    update_user_meta($user->ID, 'wptavern_oauth2_access_token', $token);

    return array(
        'access_token' => $token,
        'token_type' => 'Bearer',
        'expires_in' => 3600,
        'user_id' => $user->ID,
    );
}

// Проверка токена для защищенных эндпоинтов
function wptavern_oauth2_check_token(WP_REST_Request $request) {
    $auth = $request->get_header('authorization');

    if (!$auth || strpos($auth, 'Bearer ') !== 0) {
        return false;
    }

    $token = substr($auth, 7);

    $users = get_users(array(
        'meta_key' => 'wptavern_oauth2_access_token',
        'meta_value' => $token,
        'number' => 1,
        'count_total' => false
    ));

    if (empty($users)) {
        return false;
    }

    return $users[0];
}

Этот код создаёт REST API маршрут /wp-json/wptavern/v1/token, принимающий POST запрос с параметрами grant_type=password, username и password. Если авторизация успешна, возвращается простой токен доступа.

Для полноценных проектов стоит добавить хранение времени истечения токена, refresh token, более сложные grant types и безопасность.

Интеграция OAuth2 с WordPress REST API

После того как у вас есть OAuth2 сервер, следующий шаг — защита ваших REST API маршрутов, чтобы к ним имели доступ только авторизованные пользователи с валидным токеном.

Для этого в callback функции маршрута нужно вызывать проверку токена, например, с помощью функции wptavern_oauth2_check_token из примера выше. Если токен невалиден, возвращать ошибку 401.

Пример регистрации защищенного маршрута:

add_action('rest_api_init', function () {
    register_rest_route('wptavern/v1', '/profile', array(
        'methods' => 'GET',
        'callback' => 'wptavern_get_user_profile',
        'permission_callback' => function($request) {
            $user = wptavern_oauth2_check_token($request);
            return $user !== false;
        },
    ));
});

function wptavern_get_user_profile(WP_REST_Request $request) {
    $user = wptavern_oauth2_check_token($request);
    if (!$user) {
        return new WP_Error('rest_forbidden', 'Access denied', array('status' => 403));
    }

    return array(
        'ID' => $user->ID,
        'user_login' => $user->user_login,
        'user_email' => $user->user_email,
    );
}

Таким образом, можно создавать любые защищённые API, доступные только при наличии валидного OAuth2 токена.

Наступление авторизации в WordPress с помощью OAuth2: практическое руководство

Что такое OAuth2 и зачем он нужен в WordPress

Основные подходы к реализации OAuth2 в WordPress

Популярные плагины для OAuth2 авторизации в WordPress

Как создать собственный OAuth2 сервер в WordPress: пример кода

Интеграция OAuth2 с WordPress REST API

Рекомендации по безопасности OAuth2 в WordPress