چرا فرم شما در برابر CSRF آسیب‌پذیر است؟ راهنمای wp_nonce_field

چرا CSRF یک تهدید جدی است؟

تابع wp_nonce_field چیست؟

امضای تابع و پارامترها

function wp_nonce_field( $action = -1, $name = '_wpnonce', $referer = true, $display = true ) {
    // ...
}

نقش action در امنیت

wp_nonce_field( 'myplugin_save_settings', 'myplugin_nonce' );
wp_nonce_field( 'myplugin_delete_item', 'myplugin_delete_nonce' );
wp_nonce_field( 'myplugin_update_profile', 'myplugin_profile_nonce' );

پارامتر referer و بررسی اضافی

wp_nonce_field( 'myplugin_action', '_wpnonce', false );

بررسی nonce در سمت سرور

if ( ! isset( $_POST['myplugin_nonce'] ) ) {
    wp_die( 'درخواست نامعتبر' );
}

$nonce = sanitize_text_field( wp_unslash( $_POST['myplugin_nonce'] ) );

if ( ! wp_verify_nonce( $nonce, 'myplugin_save_settings' ) ) {
    wp_die( 'درخواست نامعتبر' );
}

check_admin_referer( 'myplugin_save_settings', 'myplugin_nonce' );

کاربردهای عملی در فرم‌ها

function myplugin_render_settings_form() {
    if ( ! current_user_can( 'manage_options' ) ) {
        wp_die( 'دسترسی غیرمجاز' );
    }

    $settings = get_option( 'myplugin_settings', array() );
    ?>
    <form method="post" action="">
        <?php wp_nonce_field( 'myplugin_save_settings', 'myplugin_nonce' ); ?>

        <label>
            <input type="checkbox" name="enabled" value="1"
                   <?php checked( ! empty( $settings['enabled'] ) ); ?>>
            فعال‌سازی افزونه
        </label>

        <button type="submit" name="myplugin_submit">ذخیره</button>
    </form>
    <?php
}

add_action( 'admin_init', 'myplugin_handle_settings_form' );
function myplugin_handle_settings_form() {
    if ( ! isset( $_POST['myplugin_submit'] ) ) {
        return;
    }

    if ( ! current_user_can( 'manage_options' ) ) {
        wp_die( 'دسترسی غیرمجاز' );
    }

    check_admin_referer( 'myplugin_save_settings', 'myplugin_nonce' );

    $settings = array(
        'enabled' => ! empty( $_POST['enabled'] ),
    );

    update_option( 'myplugin_settings', $settings );

    wp_safe_redirect( add_query_arg( 'updated', 'true', wp_get_referer() ) );
    exit;
}

نقش در AJAX

wp_localize_script(
    'myplugin-script',
    'mypluginData',
    array(
        'ajaxUrl' => admin_url( 'admin-ajax.php' ),
        'nonce'   => wp_create_nonce( 'myplugin_ajax_action' ),
    )
);

function myplugin_ajax_handler() {
    check_ajax_referer( 'myplugin_ajax_action', 'nonce' );
    // ادامه پردازش
}

نکات امنیتی و اشتباهات رایج

تحلیل فنی پیشرفته

پرسش‌های پرتکرار

ادامه مسیر