独立站长的插件往往直接面向前端请求，安全防护远比功能实现更重要。2026年，大量AI生成式插件涌现，如果缺乏基础的权限校验，攻击者可以轻易调用敏感接口。今天我们就用5分钟，给自定义插件加上第一道防线——Nonce 随机数验证。这就是为什么WordPress插件安全是每个开发者必须重视的环节。

什么是 Nonce？为什么必须用它？

Nonce（Number used once）是 WordPress 提供的一次性安全令牌，用来验证请求来源的合法性。Nonce验证能有效防止CSRF（跨站请求伪造）攻击。如果没有 Nonce，攻击者可以构造一个恶意链接，诱导管理员点击后直接执行删除文章、导出用户等操作。

在开发自定义表单或 AJAX 接口时，你只需要记住一条铁律：所有写操作必须带 Nonce 校验。

▲ Nonce 校验流程：生成令牌 → 请求携带 → 服务端验证

如何给自定义表单添加 Nonce 防护？

假设你的插件在后台添加了一个“批量清理缓存”按钮，处理逻辑如下。不安全版本直接执行 delete_transient，安全版本必须加入 Nonce 校验。

1. 在表单中植入 Nonce 字段

php

<form method="post">
    <?php wp_nonce_field( 'my_clean_action', 'my_clean_nonce' ); ?>
    <input type="submit" value="清理过期缓存">
</form>

2. 在处理逻辑中验证 Nonce

php

if ( isset( $_POST['my_clean_nonce'] ) && 
     wp_verify_nonce( $_POST['my_clean_nonce'], 'my_clean_action' ) ) {
    // 安全：执行清理缓存操作
    delete_transient( 'my_cached_data' );
    echo '缓存已清理';
} else {
    wp_die( '安全校验失败，请求被拒绝。' );
}

▲ 在插件主文件中正确放置 Nonce 校验代码

如何给 REST API 也加上 Nonce？

随着 WordPress 作为一个灵活的平台越来越多地作为 Headless CMS 使用，自定义 REST API 端点也必须加 Nonce。在注册端点时使用 permission_callback，并配合 wp_create_nonce 和 X-WP-Nonce 请求头传递。这样就能保证你的 API 只对自己的前端安全开放。

php

register_rest_route( 'myplugin/v1', '/clean', array(
    'methods'  => 'POST',
    'callback' => 'my_clean_callback',
    'permission_callback' => function () {
        return current_user_can( 'manage_options' );
    }
) );

常见问题

转载说明：本文首发于小栈博客（www.xzdbk.com），专注为独立站长提供建站资源与技术教程。