WordPress REST API - 允许任何人发帖

我正在 WordPress 上构建一个应用程序，它需要一个简单的前端表单，任何人都可以提交需要保存在数据库中的信息。我正在尝试通过 REST API 来处理这个问题。 （由于应用程序的性质，提交此信息时不能进行任何页面重定向。）

我可以毫无问题地设置 REST API (v2)，以便我可以提交帖子。当我登录 WordPress 时它效果很好。当我在未登录 WordPress 的情况下尝试填写表单时，收到错误消息。

无法加载资源：服务器响应状态为 403（禁止）

如何设置 API 以在没有身份验证的情况下接收任何人的 POST？

这是我的 JavaScript：

$( '#post-submission-form' ).on( 'submit', function(e) {
    e.preventDefault();
    var title = $( '#post-submission-title' ).val();
    var excerpt = $( '#post-submission-excerpt' ).val();
    var content = $( '#post-submission-content' ).val();
    var status = 'draft';

    var data = {
        title: title,
        excerpt: excerpt,
        content: content
    };

    $.ajax({
        method: "POST",
        url: POST_SUBMITTER.root + 'wp/v2/posts',
        data: data,
        beforeSend: function ( xhr ) {
            //xhr.setRequestHeader( 'X-WP-Nonce', POST_SUBMITTER.nonce );
        },
        success : function( response ) {
            console.log( response );
            alert( POST_SUBMITTER.success );
        },
        fail : function( response ) {
            console.log( response );
            alert( POST_SUBMITTER.failure );
        }

    });

});

以下是我初始化 javascript 的方式：

function holiday_scripts() {

    // Onload JS
    wp_enqueue_script( 'holiday-js', get_template_directory_uri() . '/js/holiday.js', array(), false, true );

    //localize data for script
    wp_localize_script( 'holiday-js', 'POST_SUBMITTER', array(
        'root' => esc_url_raw( rest_url() ),
        'nonce' => wp_create_nonce( 'wp_rest' ),
        'success' => __( 'Thanks for your submission!', 'your-text-domain' ),
        'failure' => __( 'Your submission could not be processed.', 'your-text-domain' ),
        'current_user_id' => 9
        )
     );
}
add_action( 'wp_enqueue_scripts', 'holiday_scripts' );

有谁知道如何实现这一目标？

Thanks!

可通过三种不同的选项对 REST API 进行身份验证：

1. Cookie- 这就是你现在使用的
2. OAuth- 需要 OAuth 插件并在前端嵌入密钥
3. Basic- 需要在前端嵌入用户名/密码

请参阅此处有关使用这些方法的文档：http://v2.wp-api.org/guide/authentication/ http://v2.wp-api.org/guide/authentication/.

在前端嵌入auth信息存在明显的安全风险，这是需要的OAuth and Basic因为任何人都可以作为与密钥关联的用户进行身份验证。我对 WP OAuth 插件不太熟悉，不知道您可以如何精细地控制访问，但我认为您真的不能。

最简单的解决方案是在 REST API 之外编写您自己的方法来处理这些更新（或为项目做出贡献以使未经身份验证的请求成为可能）。我写了一份指南创建 AJAX 函数 http://justinsilver.com/technology/wordpress/creating-ajax-functions-in-wordpress/在我的网站上，但基本上你想附加一个功能wp_ajax_nopriv_*钩子，其中*是您请求的“action”参数。在您挂钩的 PHP 函数中，您可以处理帖子插入并使用 JSON 进行响应（您甚至可以匹配 WP REST API 格式）。

PHP

// insert new post
function create_post_33741541() {
    // use the $_POST to create your post
    $args = array(
         'post_title' => isset( $_POST['title'] )? $_POST['title'] : 'Empty Title',
         // more parameters....
    );
    $post_id = wp_insert_post( $args );

    // make a response
    $response = array( 'post_id' => $post_id, 'message' => 'post created!' );

    // set the content type and return json encode response, then exit
    header( 'Content-type: application/json' );
    die( json_encode( $response ) );
}
// use wp_ajax_nopriv to access from front end
add_action( 'wp_ajax_nopriv_create_post_33741541', 'create_post_33741541' );
add_action( 'wp_ajax_create_post_33741541', 'create_post_33741541' );

JavaScript

function createThePost(){
    var data = {
        // use the part after "wp_ajax_nopriv" as the action
        action: 'create_post_33741541',
        title: 'Your title',
        // other params
    };

    $.ajax({
        method: "POST",
        url: ajaxurl,
        data: data,
        // your handlers
    });
}