چرا هر رباتی می‌تواند AJAX شما را صدا بزند؟ راهنمای هوک wp_ajax_nopriv_

چرا AJAX عمومی یک نقطه حساس است؟

هوک wp_ajax_nopriv_ چیست؟

wp_ajax_nopriv_{$action}

تفاوت با wp_ajax_

add_action( 'wp_ajax_myplugin_action', 'myplugin_handler' );
add_action( 'wp_ajax_nopriv_myplugin_action', 'myplugin_handler' );
function myplugin_handler() {
    // هندلر مشترک با بررسی وضعیت کاربر
}

ساختار و پارامترها

add_action( 'wp_ajax_nopriv_myplugin_public', 'myplugin_public_handler' );
function myplugin_public_handler() {
    // بررسی nonce
    // بررسی Rate Limit
    // پردازش درخواست
    // ارسال پاسخ
    wp_send_json_success( $data );
}

بررسی nonce برای مهمان‌ها

wp_localize_script(
    'myplugin-public',
    'mypluginPublic',
    array(
        'ajaxUrl' => admin_url( 'admin-ajax.php' ),
        'nonce'   => wp_create_nonce( 'myplugin_public_action' ),
    )
);

function myplugin_public_handler() {
    if ( ! check_ajax_referer( 'myplugin_public_action', 'nonce', false ) ) {
        wp_send_json_error( array(
            'code'    => 'invalid_nonce',
            'message' => 'درخواست نامعتبر است',
        ), 403 );
    }

    // ادامه پردازش
}

Rate Limiting و محدودیت نرخ

function myplugin_check_rate_limit( $max_requests = 10, $window = 60 ) {
    $ip = myplugin_get_client_ip();

    if ( empty( $ip ) ) {
        return false;
    }

    $key = 'myplugin_rate_' . md5( $ip );
    $count = (int) get_transient( $key );

    if ( $count >= $max_requests ) {
        return false;
    }

    set_transient( $key, $count + 1, $window );

    return true;
}

function myplugin_get_client_ip() {
    if ( ! empty( $_SERVER['HTTP_CF_CONNECTING_IP'] ) ) {
        return sanitize_text_field( wp_unslash( $_SERVER['HTTP_CF_CONNECTING_IP'] ) );
    }

    if ( ! empty( $_SERVER['HTTP_X_FORWARDED_FOR'] ) ) {
        $ips = explode( ',', sanitize_text_field( wp_unslash( $_SERVER['HTTP_X_FORWARDED_FOR'] ) ) );
        return trim( $ips[0] );
    }

    if ( ! empty( $_SERVER['REMOTE_ADDR'] ) ) {
        return sanitize_text_field( wp_unslash( $_SERVER['REMOTE_ADDR'] ) );
    }

    return '';
}

کاربردهای عملی در افزونه

add_action( 'wp_ajax_nopriv_myplugin_contact', 'myplugin_contact_public_handler' );
function myplugin_contact_public_handler() {
    if ( ! check_ajax_referer( 'myplugin_contact_nonce', 'nonce', false ) ) {
        wp_send_json_error( array( 'message' => 'درخواست نامعتبر' ), 403 );
    }

    if ( ! myplugin_check_rate_limit( 5, 300 ) ) {
        wp_send_json_error( array( 'message' => 'تعداد درخواست‌ها بیش از حد مجاز است' ), 429 );
    }

    $name    = isset( $_POST['name'] ) ? sanitize_text_field( wp_unslash( $_POST['name'] ) ) : '';
    $email   = isset( $_POST['email'] ) ? sanitize_email( wp_unslash( $_POST['email'] ) ) : '';
    $message = isset( $_POST['message'] ) ? sanitize_textarea_field( wp_unslash( $_POST['message'] ) ) : '';

    $errors = array();
    if ( empty( $name ) ) {
        $errors['name'] = 'نام الزامی است';
    }
    if ( ! is_email( $email ) ) {
        $errors['email'] = 'ایمیل نامعتبر است';
    }
    if ( empty( $message ) ) {
        $errors['message'] = 'پیام الزامی است';
    }

    if ( ! empty( $errors ) ) {
        wp_send_json_error( array(
            'message' => 'لطفاً خطاها را بررسی کنید',
            'errors'  => $errors,
        ), 422 );
    }

    wp_mail(
        get_option( 'admin_email' ),
        'پیام جدید از ' . $name,
        $message,
        array( 'Reply-To: ' . $email )
    );

    wp_send_json_success( array( 'message' => 'پیام شما ارسال شد' ) );
}

add_action( 'wp_ajax_nopriv_myplugin_load_more', 'myplugin_load_more_public' );
function myplugin_load_more_public() {
    if ( ! check_ajax_referer( 'myplugin_load_more_nonce', 'nonce', false ) ) {
        wp_send_json_error( array( 'message' => 'درخواست نامعتبر' ), 403 );
    }

    if ( ! myplugin_check_rate_limit( 30, 60 ) ) {
        wp_send_json_error( array( 'message' => 'محدودیت درخواست' ), 429 );
    }

    $page = isset( $_POST['page'] ) ? absint( $_POST['page'] ) : 1;

    if ( $page < 1 || $page > 100 ) {
        wp_send_json_error( array( 'message' => 'شماره صفحه نامعتبر' ), 400 );
    }

    $query = new WP_Query( array(
        'post_type'      => 'post',
        'posts_per_page' => 10,
        'paged'          => $page,
    ) );

    $posts = array();
    foreach ( $query->posts as $post ) {
        $posts[] = array(
            'id'    => $post->ID,
            'title' => esc_html( get_the_title( $post ) ),
            'url'   => esc_url( get_permalink( $post ) ),
        );
    }

    wp_send_json_success( array(
        'posts'    => $posts,
        'hasMore'  => $page < $query->max_num_pages,
    ) );
}

Sanitize و Escape در پاسخ

$email   = sanitize_email( wp_unslash( $_POST['email'] ) );
$message = sanitize_textarea_field( wp_unslash( $_POST['message'] ) );
$post_id = absint( $_POST['post_id'] );

wp_send_json_success( array(
    'title'   => esc_html( $title ),
    'url'     => esc_url( $url ),
    'content' => wp_kses_post( $content ),
) );

نکات امنیتی و اشتباهات رایج

تحلیل فنی پیشرفته

پرسش‌های پرتکرار

ادامه مسیر