Как действительно работает check_ajax_referer ()?
Умные люди Wordpress говорят разработчики этого плагина должны использовать одноразовый номер в каждом запросе AJAX, который отправляется со страницы обратно в блог WordPress (admin-ajax.php).
Это делается путем (1) генерации одноразового номера на стороне сервера через
$nonce = wp_create_nonce ('my-nonce');
... (2) сделать этот одноразовый номер доступным для кода Javascript, который отправляет запросы AJAX. Например, вы можете сделать это так:
function myplg_emit_scriptblock() {
$nonce = wp_create_nonce('myplg-nonce');
echo "<script type='text/javascript'>\n" .
" var WpPlgSettings = {\n" .
" ajaxurl : '" . admin_url( 'admin-ajax.php' ) . "',\n" .
" nonce : '" . $nonce . "'\n" .
" };\n" .
"</script>\n";
}
add_action('wp_print_scripts','myplg_emit_scriptblock');
... и затем (3) логика ajax javascript ссылается на эту глобальную переменную.
var url = WpPlgSettings.ajaxurl +
"?action=my-wp-plg-action&" +
"nonce=" + WpPlgSettings .nonce +
"docid=" + id;
$.ajax({type: "GET",
url: url,
headers : { "Accept" : 'application/json' },
dataType: "json",
cache: false,
error: function (xhr, textStatus, errorThrown) {
...
},
success: function (data, textStatus, xhr) {
...
}
});
... и наконец (4) проверка полученного одноразового номера в серверной логике.
add_action( 'wp_ajax_nopriv_skydrv-hotlink', 'myplg_handle_ajax_request' );
add_action( 'wp_ajax_skydrv-hotlink', 'myplg_handle_ajax_request' );
function myplg_handle_ajax_request() {
check_ajax_referer( 'myplg-nonce', 'nonce' ); // <<=-----
if (isset($_GET['docid'])) {
$docid = $_GET['docid'];
$response = myplg_generate_the_response($docid);
header( "Content-Type: application/json" );
echo json_encode( $response ) ;
}
else {
$response = array("error" => "you must specify a docid parameter.");
echo json_encode( $response ) ;
}
exit;
}
Но как на самом деле работает проверка?