چرا هر کاربری می‌تواند درخواست AJAX شما را اجرا کند؟ راهنمای هوک wp_ajax_

چرا امنیت AJAX حیاتی است؟

هوک wp_ajax_ چیست؟

wp_ajax_{$action}

تفاوت wp_ajax_ و wp_ajax_nopriv_

add_action( 'wp_ajax_myplugin_load', 'myplugin_load_handler' );
add_action( 'wp_ajax_nopriv_myplugin_load', 'myplugin_load_handler' );
function myplugin_load_handler() {
    // هندلر مشترک
}

ساختار و پارامترها

add_action( 'wp_ajax_myplugin_save', 'myplugin_save_handler' );
function myplugin_save_handler() {
    // بررسی امنیت
    // پردازش درخواست
    // ارسال پاسخ
    wp_send_json_success( $data );
}

بررسی nonce

function myplugin_save_handler() {
    check_ajax_referer( 'myplugin_save_nonce', 'nonce' );

    // ادامه پردازش
}

function myplugin_save_handler() {
    if ( ! isset( $_POST['nonce'] ) || ! wp_verify_nonce( $_POST['nonce'], 'myplugin_save_nonce' ) ) {
        wp_send_json_error( array(
            'code'    => 'invalid_nonce',
            'message' => 'درخواست نامعتبر است',
        ), 403 );
    }

    // ادامه پردازش
}

wp_localize_script(
    'myplugin-script',
    'mypluginData',
    array(
        'ajaxUrl' => admin_url( 'admin-ajax.php' ),
        'nonce'   => wp_create_nonce( 'myplugin_save_nonce' ),
    )
);

بررسی دسترسی کاربر

function myplugin_delete_post_handler() {
    check_ajax_referer( 'myplugin_delete_nonce', 'nonce' );

    if ( ! current_user_can( 'delete_posts' ) ) {
        wp_send_json_error( array(
            'code'    => 'insufficient_permissions',
            'message' => 'دسترسی کافی ندارید',
        ), 403 );
    }

    $post_id = isset( $_POST['post_id'] ) ? absint( $_POST['post_id'] ) : 0;
    if ( ! $post_id ) {
        wp_send_json_error( array( 'message' => 'شناسه نامعتبر' ), 400 );
    }

    $deleted = wp_delete_post( $post_id, true );
    if ( ! $deleted ) {
        wp_send_json_error( array( 'message' => 'حذف ناموفق بود' ), 500 );
    }

    wp_send_json_success( array( 'post_id' => $post_id ) );
}
add_action( 'wp_ajax_myplugin_delete_post', 'myplugin_delete_post_handler' );

کاربردهای عملی در افزونه

add_action( 'wp_ajax_myplugin_save_note', 'myplugin_save_note_handler' );
function myplugin_save_note_handler() {
    check_ajax_referer( 'myplugin_note_nonce', 'nonce' );

    if ( ! is_user_logged_in() ) {
        wp_send_json_error( array( 'message' => 'ابتدا وارد شوید' ), 401 );
    }

    $user_id = get_current_user_id();
    $note = isset( $_POST['note'] ) ? sanitize_textarea_field( $_POST['note'] ) : '';

    if ( empty( $note ) ) {
        wp_send_json_error( array( 'message' => 'یادداشت خالی است' ), 400 );
    }

    update_user_meta( $user_id, 'myplugin_note', $note );

    wp_send_json_success( array(
        'message' => 'یادداشت ذخیره شد',
        'note'    => $note,
    ) );
}

add_action( 'wp_ajax_myplugin_contact', 'myplugin_contact_handler' );
add_action( 'wp_ajax_nopriv_myplugin_contact', 'myplugin_contact_handler' );
function myplugin_contact_handler() {
    check_ajax_referer( 'myplugin_contact_nonce', 'nonce' );

    // محدودیت نرخ ارسال
    $ip = myplugin_get_client_ip();
    $key = 'myplugin_contact_' . md5( $ip );
    $count = (int) get_transient( $key );

    if ( $count >= 5 ) {
        wp_send_json_error( array( 'message' => 'تعداد درخواست‌ها بیش از حد مجاز است' ), 429 );
    }
    set_transient( $key, $count + 1, HOUR_IN_SECONDS );

    $name = isset( $_POST['name'] ) ? sanitize_text_field( $_POST['name'] ) : '';
    $email = isset( $_POST['email'] ) ? sanitize_email( $_POST['email'] ) : '';
    $message = isset( $_POST['message'] ) ? sanitize_textarea_field( $_POST['message'] ) : '';

    $errors = array();
    if ( empty( $name ) ) {
        $errors['name'] = 'نام الزامی است';
    }
    if ( ! is_email( $email ) ) {
        $errors['email'] = 'ایمیل نامعتبر است';
    }
    if ( empty( $message ) ) {
        $errors['message'] = 'پیام الزامی است';
    }

    if ( ! empty( $errors ) ) {
        wp_send_json_error( array(
            'message' => 'لطفاً خطاها را بررسی کنید',
            'errors'  => $errors,
        ), 422 );
    }

    wp_mail(
        get_option( 'admin_email' ),
        'پیام جدید از ' . $name,
        $message
    );

    wp_send_json_success( array( 'message' => 'پیام شما ارسال شد' ) );
}

Escape در پاسخ

wp_send_json_success( array(
    'title'   => esc_html( $post_title ),
    'content' => wp_kses_post( $post_content ),
    'url'     => esc_url( get_permalink( $post_id ) ),
) );

// روش اشتباه
element.innerHTML = response.data.title;

// روش صحیح
element.textContent = response.data.title;

نکات امنیتی و اشتباهات رایج

تحلیل فنی پیشرفته

پرسش‌های پرتکرار

نتیجه و مسیر ادامه