Anleitung zum Sichern von WordPress-REST-APIs mit Basisauthentifizierung

• Benutzername Passwort
• Kunden-Zugangsdaten

 
  var client = new RestClient("http://<wp_base_url>/wp-json/wp/v2/posts ");
  client.Timeout = -1;
  var request = new RestRequest(Method.POST);
  request.AlwaysMultipartFormData = true;
  request.AddParameter("title", "Sample Post");
  request.AddParameter("status", "publish");
  IRestResponse response = client.Execute(request);
  Console.WriteLine(response.Content);
  

 
  OkHttpClient client  = new OkHttpClient().newBuilder().build();
  MediaType mediaType = MediaType.parse("text/plain");
  RequestBody body  = new MultipartBody.Builder().setType(MultipartBody.FORM)
  .addFormDataPart("title","Sample Post")
  .addFormDataPart("status", "publish") 
  .build();
  Request request  = new Request.Builder()
  .url("http://<wp_base_url>/wp-json/wp/v2/posts ")
  .method("POST", body)
   .build();
  Response responseclient.newCall(request).execute();
  

 
  var form = new FormData();
  form.append("title","Sample Post");
  form.append("status", "publish"); 
  
  var settings  = {
  "url": "http://<wp_base_url>/wp-json/wp/v2/posts ",
  "method": "POST",
  "timeout": 0,
  "processData": false,
  "mimeType": "multipart/form-data",
  "contentType": false,
  "data": form
  };
  
  $.ajax(settings).done(function (response)  {
  console.log(response);
  });
  

 
  <?php
   $curl = curl_init();
  curl_setopt_array($curl, array 
  (
  CURLOPT_URL => 'http://%3Cwp_base_url%3E/wp-json/wp/v2/posts%20',
  CURLOPT_RETURNTRANSFER => true,
  CURLOPT_ENCODING => '',
  CURLOPT_MAXREDIRS => 10,
  CURLOPT_TIMEOUT => 0,
  CURLOPT_FOLLOWLOCATION => true,
  CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
  CURLOPT_CUSTOMREQUEST => 'POST',
  CURLOPT_POSTFIELDS => array('title' => 'Sample Post','status' => 'publish'),
  ));
  
  $response = curl_exec($curl);
  curl_close($curl);    
  echo $response;
  

 
  import http.client
  import mimetypes
  from codecs import encode
  
  conn   = http.client.HTTPSConnection("<wp_base_url>")
  dataList= []
  boundary = 'wL36Yn8afVp8Ag7AmP8qZ0SA4n1v9T'
  dataList.append(encode('--' + boundary))
  dataList.append(encode('Content-Disposition: form-data; name=title;')) 
  
  dataList.append(encode('Content-Type: {}'.format('text/plain')))    
  dataList.append(encode(''))    
  
  dataList.append(encode("Sample Post"))
  dataList.append(encode('--' + boundary))    
  dataList.append(encode('Content-Disposition: form-data; name=status;'))    
  
  dataList.append('Content-Type: {}'.format('text/plain')))
  dataList.append(encode(''))    
  
  dataList.append(encode("publish")) 
  dataList.append(encode('--'+boundary+'--'))    
  dataList.append(encode(''))    
  body  = b'\r\n'.join(dataList)    
  payload= body
  headers = {
  'Content-type': 'multipart/form-data; boundary={}'.format(boundary) 
  }
  conn.request("POST", "/wp-json/wp/v2/posts ", payload, headers)
  res= conn.getresponse()    
  data = res.read()    
  print (data.decode("utf-8"))   
  

 
  var client = new RestClient("http://<wp_base_url>/wp-json/wp/v2/posts ");
  client.Timeout = -1;
  var request = new RestRequest(Method.POST);
  request.AddHeader("Authorization", "Basic base64encoded < clientid:clientsecret > ");
  request.AlwaysMultipartFormData = true;
  request.AddParameter("username", "test");
  request.AddParameter("email", "test@test.com");
  request.AddParameter("password", "test");
  request.AddParameter("name", "test");
  IRestResponse response = client.Execute(request);
  Console.WriteLine(response.Content);
  

 
  OkHttpClient client  = new OkHttpClient().newBuilder().build();
  MediaType mediaType = MediaType.parse("text/plain");
  RequestBody body  = new MultipartBody.Builder().setType(MultipartBody.FORM)
  .addFormDataPart("username","test")
  .addFormDataPart("email","test@test.com")
  .addFormDataPart("password","test")
  .addFormDataPart("name","test") 
  .build();
  Request request  = new Request.Builder()
  .url("http://<wp_base_url>/wp-json/wp/v2/posts ")
  .method("POST", body)
  .addHeader ("Authorization", "Basic base64encoded < clientid:clientsecret > ")
   .build();
  Response responseclient.newCall(request).execute();
  

 
  var form = new FormData();
  form.append("username", "test");
  form.append("email", "test@test.com");
  form.append("password", "test");
  form.append("name", "test");
  
  var settings  = {
  "url": "http://<wp_base_url>/wp-json/wp/v2/posts ",
  "method": "POST",
  "timeout": 0,
  "headers": {
  "Authorization": "Basic base64encoded < clientid:clientsecret > "
  },
  "processData": false,
  "mimeType": "multipart/form-data",
  "contentType": false,
  "data": form
  };
  
  $.ajax(settings).done(function (response)  {
  console.log(response);
  });
  

 
  <?php
   $curl = curl_init();
  curl_setopt_array($curl, array 
  ( 
  CURLOPT_URL => 'http://%3Cwp_base_url%3E/wp-json/wp/v2/users',
  CURLOPT_RETURNTRANSFER => true,
  CURLOPT_ENCODING => '',
  CURLOPT_MAXREDIRS => 10,
  CURLOPT_TIMEOUT => 0,
  CURLOPT_FOLLOWLOCATION => true,
  CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
  CURLOPT_CUSTOMREQUEST => 'POST',
  CURLOPT_POSTFIELDS => array('username' => 'test','email' => 'test@test.com','password' => 'test','name' => 'test'),
  CURLOPT_HTTPHEADER => array(
  'Authorization: Basic base64encoded < clientid:clientsecret > '
  ),
  ))  
  $response = curl_exec($curl);
  curl_close($curl);    
  echo $response;
  

 
  import http.client
  import mimetypes
  from codecs import encode
  
  conn   = http.client.HTTPSConnection("<wp_base_url>")
  dataList= []
  boundary = 'wL36Yn8afVp8Ag7AmP8qZ0SA4n1v9T'
  dataList.append(encode('--' + boundary))
  dataList.append(encode('Content-Disposition: form-data; name=username;'))
  
  dataList.append(encode('Content-Type: {}'.format('text/plain')))    
  dataList.append(encode(''))    
  
  dataList.append(encode("test"))
  dataList.append(encode('--' + boundary))    
  dataList.append(encode('Content-Disposition: form-data; name=email;'))
  
  dataList.append('Content-Type: {}'.format('text/plain')))
  dataList.append(encode(''))    
  
  dataList.append(encode("test@test.com"))
  dataList.append(encode('--'+ boundary))    
  dataList.append(encode('Content-Disposition: form-data; name=password;'))
  
  dataList.append(encode('Content-Type: {}'.format('text/plain')))
  dataList.append(encode(''))
  
  dataList.append(encode("test"))
  dataList.append(encode('--' + boundary))
  
  dataList.append(encode('Content-Disposition: form-data; name=name;'))
  
  dataList.append(encode('Content-Type: {}'.format('text/plain')))
  dataList.append(encode(''))
  
  dataList.append(encode("test"))
  dataList.append(encode('--'+boundary+'--'))
  dataList.append(encode(''))
  body  = b'\r\n'.join(dataList)    
  payload= body
  headers = {
  'Authorization': 'Basic base64encoded < clientid:clientsecret > ',
  'Content-type': 'multipart/form-data; boundary={}'.format(boundary) 
  }
  conn.request("POST", "/wp-json/wp/v2/posts ", payload, headers)
  res= conn.getresponse()    
  data = res.read()    
  print (data.decode("utf-8"))   
  

Postboten-Beispiele:

Führen Sie die folgenden Schritte aus, um eine REST-API-Anfrage mit Postman zu stellen:

• Klicken Sie auf Postman-Proben Registerkarte im Plugin.

• Bewegen Sie nun den Mauszeiger über die Karte „Basic Authentication Postman Samples“.

a) Für Benutzername-Passwort


• Importieren Sie das heruntergeladene JSON-Datei in die Postman-Anwendung ein, wie unten gezeigt.

• Sobald Sie die JSON-Datei importiert haben, klicken Sie auf die REST-API-Anforderung unter den Sammlungen, wie in der letzten Abbildung gezeigt. Ersetzen Sie die mit Ihrer Wordpress-Domain im http://<wp_base_url>/wp-json/wp/v2/posts und ersetzen Sie die base64kodiert im Header mit dem basiscodierten Wert.

Ejemplo:
Für den Benutzernamen: testuser und das Passwort: password@123 lautet der base64-codierte Wert „dGVzdHVzZXI6cGFzc3dvcmRAMTIz“.



b) Für Client-ID und Client-Geheimnis


• Importieren Sie das heruntergeladene JSON-Datei in die Postman-Anwendung ein, wie unten gezeigt.

• Sobald Sie die JSON-Datei importiert haben, klicken Sie auf die REST-API-Anforderung unter den Sammlungen, wie in der letzten Abbildung gezeigt. Ersetzen Sie nun die mit Ihrer Wordpress-Domain im http://<wp_base_url>/wp-json/wp/v2/posts und ersetzen Sie die base64kodiert im Header mit dem basiscodierten Wert.

Feature Beschreibung

1. Einschränkung der rollenbasierten REST-API:

Diese Funktion beschränkt den Zugriff auf die WordPress-REST-API basierend auf Benutzerrollen. Sie können bestimmte Rollen auf eine Whitelist setzen, die Zugriff auf bestimmte REST-API-Ressourcen haben. Bei einer REST-API-Anfrage wird die Rolle des Benutzers überprüft und der Zugriff nur gewährt, wenn die Rolle auf der Whitelist steht.

Wie konfiguriere ich eine rollenbasierte REST-API-Einschränkung in WordPress?

• Zum Plugin Erweiterte Einstellungen Tab.
• Im Rollenbasierte Einschränkung Abschnitt ist allen Rollen standardmäßig der Zugriff auf APIs gestattet.
• Aktivieren Sie das Kontrollkästchen neben den Rollen, deren Zugriff auf die APIs Sie einschränken möchten.

• Im obigen Bild ist das Kontrollkästchen für die Abonnentenrolle aktiviert. Wenn also ein Benutzer in seiner Rolle als Abonnent eine API-Anforderung stellt, darf dieser Benutzer nicht auf die angeforderte Ressource zugreifen.

Hinweis: Die rollenbasierte Einschränkungsfunktion ist für die Basisauthentifizierung (Benutzername: Passwort), die JWT-Methode und OAuth 2.0 (Passwortzuteilung) gültig.

2. Benutzerdefinierter Header:

Mit der Funktion „Benutzerdefinierter Header“ können Sie anstelle des standardmäßigen „Autorisierungs“-Headers einen benutzerdefinierten Header verwenden. Dies bietet zusätzliche Sicherheit, da die REST-API nur Anfragen mit dem von Ihnen definierten benutzerdefinierten Headernamen akzeptiert. Wenn jemand versucht, eine Anfrage mit dem standardmäßigen „Autorisierungs“-Header zu senden, wird der Zugriff verweigert.

Wie konfiguriere ich einen benutzerdefinierten Header für die WordPress REST-API-Authentifizierung?

• Zum Plugin Erweiterte Einstellungen Tab.
• Im Benutzerdefinierte Kopfzeile Geben Sie im Abschnitt Ihren bevorzugten Header-Namen in das Textfeld ein.
• Speichern Sie die Änderungen, um den neuen benutzerdefinierten Header für API-Anfragen anzuwenden.

3. REST-APIs ausschließen:

Mit der Funktion „REST-APIs ausschließen“ können Sie den Zugriff auf bestimmte REST-API-Endpunkte ohne Authentifizierung zulassen. Diese ausgeschlossenen APIs werden öffentlich verfügbar und sind ohne Token oder Anmeldung zugänglich.

Wie konfiguriere ich eine ausgeschlossene REST-API in der JWT-Authentifizierung?

• Zum Plugin Erweiterte Einstellungen Tab.
• Im Schließen Sie REST-APIs aus Geben Sie im Abschnitt Ihre API-Endpunkte im erforderlichen Format ein.
• Die eingegebenen APIs werden von der Authentifizierung ausgeschlossen und für den öffentlichen Zugriff verfügbar gemacht.

• Beispiel: Angenommen, Sie möchten die REST-API ausschließen./wp-json/wp/v2/posts‘, dann müssen Sie ‚/wp/v2/posts‘ in das Textfeld eingeben.

4. Aktivieren Sie die erweiterte Verschlüsselung für die Token mit HMAC:

Diese Funktion ist in der Standardauthentifizierungsmethode verfügbar. Standardmäßig werden Token mit Base64-Kodierung verschlüsselt. Mit der erweiterten Option können Sie jedoch die HMAC-Verschlüsselung für Token aktivieren. HMAC bietet ein deutlich höheres Maß an Sicherheit und stellt sicher, dass API-Anfragen stark vor Manipulation und unbefugtem Zugriff geschützt sind.

Wie konfiguriere ich die HMAC-Verschlüsselung für Token in der WordPress-Basisauthentifizierung?

• Zum Plugin Erweiterte Einstellungen Registerkarte und öffnen Sie die Token-Verschlüsselungsmethode .
• Auswählen HMAC anstelle von Base64, speichern Sie dann die Änderungen, um eine sichere Verschlüsselung für alle Token anzuwenden.

Ähnliche Artikel

• WordPress REST API OAuth 2.0-Authentifizierungsmethode
• WordPress-REST-API-Schlüsselauthentifizierungsmethode | Sichere REST-API

 Fordern Sie eine Demo des Plugins an

Holen Sie sich die Testversion mit vollem Funktionsumfang

E-Mail *

Anforderung * Anfrage senden

 Vielen Dank für Ihre Antwort. Wir werden uns in Kürze bei Ihnen melden.

Etwas ist schief gelaufen. Bitte senden Sie Ihre Anfrage erneut