WordPress REST API: Hogyan készítsünk biztonságos végpontot jogosultságkezeléssel?

Sziasztok! Ha WordPress fejlesztéssel foglalkozol, nagy valószínűséggel már találkoztál a REST API-val. Ez a rendkívül hasznos feature lehetőséget ad arra, hogy WordPress adatokat külső alkalmazásokból elérjük, vagy akár saját admin felületeket építsünk. De itt jön a nagy kérdés: hogyan csináljuk ezt biztonságosan? Mert ugye, nem szeretnénk, hogy bárki meg tudja változtatni a bejegyzéseinket, vagy akár még rosszabb dolgokat tegyen a rendszerünkkel.

Miért olyan fontos a biztonság itt?

Amikor saját REST API végpontot készítesz, lényegében egy ajtót nyitsz a WordPress magjába. Ha ezt az ajtót nem rögzíted rendesen, bárki becsöngethet – és nem mindenki jó szándékú. A gyakori problémák közé tartozik az adatkiszivárgás (nem mindenkinek kellene látnia mindent), az illegális módosítások (ha valaki írhat a végponton), és természetesen a teljes rendszer kompromittálása.

Az alapok: Permission Callback

A WordPress REST API biztonságának szíve a permission_callback paraméter. Régebben ez opcionális volt, de a WordPress 5.5 óta kötelező minden végpontnál. Ha nem adod meg, a végpontod egyszerűen nem fog működni – a rendszer így kényszeríti, hogy legalább alap szinten gondolj a biztonságra.

register_rest_route('sajat-namespace/v1', '/publikus-adat', array(
    'methods' => 'GET',
    'callback' => 'lekerdez_publikus_adat',
    'permission_callback' => '__return_true'
));

A fenti példában a __return_true azt jelenti, hogy bárki hozzáférhet a végponthoz. Ez nyilván csak olyan adatoknál használható, amiket tényleg mindenki láthat.

Jogosultsági rendszerek a gyakorlatban

A való életben azonban általában korlátozni szeretnénk a hozzáférést. Nézzünk egy tipikus példát, ahol csak bejelentkezett felhasználóknak szeretnénk adatokat szolgáltatni:

register_rest_route('sajat-namespace/v1', '/bejelentkezettnek', array(
    'methods' => 'GET',
    'callback' => 'lekerdez_privat_adat',
    'permission_callback' => function() {
        return is_user_logged_in();
    }
));

De mi van, ha csak adminoknak szeretnéd engedélyezni a hozzáférést?

register_rest_route('sajat-namespace/v1', '/csak-adminnak', array(
    'methods' => ['GET', 'POST'],
    'callback' => 'admin_muvelet',
    'permission_callback' => function() {
        return current_user_can('manage_options');
    }
));

A current_user_can() függvény a WordPress szerepkör-alapú jogosultságrendszerére épül, ami rendkívül rugalmas megoldásokat kínál.

Komplexebb jogosultságkezelés

Gyakran előfordul, hogy egy végponton belül különböző HTTP metódusokhoz különböző jogosultságokat szeretnénk rendelni. Például mindenki olvashatja az adatokat, de csak szerkesztők írhatják. Erre a WP_REST_Server konstansai nagyon jól használhatók:

register_rest_route('sajat-namespace/v1', '/komplex-peldany', array(
    array(
        'methods' => WP_REST_Server::READABLE,
        'callback' => 'lekerdez_peldany',
        'permission_callback' => '__return_true'
    ),
    array(
        'methods' => WP_REST_Server::CREATABLE,
        'callback' => 'uj_peldany',
        'permission_callback' => function() {
            return current_user_can('edit_posts');
        }
    ),
    array(
        'methods' => WP_REST_Server::DELETABLE,
        'callback' => 'torol_peldany',
        'permission_callback' => function() {
            return current_user_can('delete_posts');
        }
    )
));

Frontend kapcsolat – jQuery példa

Tegyük fel, hogy van egy biztonságos backend végpontunk, és most jQuery-ből szeretnénk hozzáférni. Itt nagyon fontos a nonce (number used once) kezelése, ami egy egyszer használatos tokent jelent, és megakadályozza a CSRF (Cross-Site Request Forgery) támadásokat.

$(document).ready(function() {
    $('#adat-lekeres').on('click', function() {
        $.ajax({
            url: '/wp-json/sajat-namespace/v1/csak-adminnak',
            method: 'GET',
            beforeSend: function(xhr) {
                xhr.setRequestHeader('X-WP-Nonce', wpApiSettings.nonce);
            },
            success: function(response) {
                $('#eredmeny').html(JSON.stringify(response));
            },
            error: function(xhr, status, error) {
                console.error('Hiba történt:', error);
                $('#eredmeny').html('Hozzáférés megtagadva vagy hiba történt.');
            }
        });
    });
});

Gyakori buktatók, amiket érdemes elkerülni

1. Nonce elfelejtése – A frontend kéréseknél mindig küldj nonce-t, különben a permission_callback false-t fog visszaadni, még akkor is, ha a felhasználónak egyébként van joga.

2. Túl lazák a permission callback-ek – Ne használd a __return_true-t, csak ha tényleg mindenki számára elérhető adatról van szó.

3. Jogosultságok nem átgondolt delegálása – A current_user_can('manage_options') nagyon erős jogosultság. Gyakran elég ennél gyengébb capability-ket használni, mint például 'edit_posts' vagy 'publish_posts'.

4. Adatvalidáció hiánya – A permission_callback csak a hozzáférési jogot ellenőrzi. Az adatok validálását a callback függvényben vagy külön validate_callback-ben kell elvégezni.

5. Frontend biztonsági részek – Még ha a backend is biztonságos, a frontenden sem szabad bizalmas adatokat megjeleníteni olyan felhasználóknak, akiknek nincs jogosultságuk.

Egy kis Bootstrap díszítés

Mivel a frontend résznél jQuery-t használtunk, illik egy kis Bootstrap stílust is adni a dolognak:

<div class="container mt-4">
    <div class="card">
        <div class="card-header">
            <h5 class="mb-0">Biztonságos REST API teszt</h5>
        </div>
        <div class="card-body">
            <p class="card-text">Csak admin jogosultsággal érhető el az adat.</p>
            <button id="adat-lekeres" class="btn btn-primary">Adat lekérése</button>
            <div id="eredmeny" class="mt-3 p-3 border rounded bg-light"></div>
        </div>
    </div>
</div>

Összegzés

A WordPress REST API végpontok biztonságos készítése nem rakétatudomány, de kötelező lépés, ha nem akarod, hogy a rendszered sebezhető legyen. A lényeg: mindig használj permission_callback-et, gondold át, kinek van joga mit csinálni, validáld a bejövő adatokat, és ne felejts el nonce-t használni a frontend kéréseknél.

Emlékezz: a jó jogosultságkezelés nem csak a támadók kizárásáról szól, hanem a felhasználói élményről is – a megfelelő felhasználók simán hozzáférnek a nekik szánt funkciókhoz, míg a többiek nem is tudnak olyan dolgokról, amiket úgysem használhatnának.

Ha ezeket az alapelveket követed, már jóval biztonságosabb lesz a WordPress REST API implementációd, és nyugodtan aludhatsz este, nem kell attól félned, hogy valaki épp a legújabb blogbejegyzésedet „tuningolja” anélkül, hogy megkérdezted volna.