无头文字:如何认证前端请求？

Question

我设想后端的Wordpress可以在前端使用React.js，如下所示：

1. 在http://example.com/api上安装了Wordpress
2. React.js脚本通过脚本标记加载到http://example.com/index.html中，然后注入根div。

不过有个问题。如果没有wordpress控制注册和排队，我就不知道如何在React.js脚本文件中本地化一个nonce。

没有nonce，路由就不能进行身份验证，因为cookie验证需要在X-WP-Nonce头中进行验证。https://developer.wordpress.org/rest-api/using-the-rest-api/authentication/

一个API请求可以对一个名为“现在”的人提出，但是该路由必然是不受保护的，这使得它非常不安全。

解决这个问题的办法是什么？你们是如何设置无头wordpress来将身份验证信息(比如现在的)传递给您的前端脚本文件的？

Answer 1

现在的身份验证方法仅适用于来自WordPress内部的请求，正如您自己的链接中所描述的(强调我的)：

重要的是要记住，此身份验证方法依赖于WordPress cookie。因此，只有在WordPress内部使用REST并且当前用户登录时，此方法才适用。此外，当前用户必须具有执行正在执行的操作的适当能力。

然后，您的链接描述了其他一些可用于远程请求的方法：

虽然cookie身份验证是WordPress内部唯一可用的身份验证机制，但是可以添加插件以支持来自远程应用程序的替代身份验证模式。一些示例插件是OAuth 1.0a服务器、应用密码和JSON网络令牌。

如果您是从WordPress之外的React应用程序发出经过身份验证的请求，则需要使用这些方法之一。