外观
如何理解WordPress 的登录、权限与 API Key？
标准回答
WordPress 站内请求与外部 API 调用可能采用不同身份验证方式。Cookie 与 nonce 的站内路径需要结合用户权限；nonce 不应单独充当完整登录凭据。外部接入要使用受支持的认证机制或明确设计的 API Key 层。
服务端对每次操作检查对应能力、资源归属和配额，不能只判断“已登录”。API Key 应可以按用途限制、轮换和撤销，服务端保存适合校验的摘要或受保护记录，避免明文密钥出现在网页脚本、日志和错误堆栈。
后台管理、普通用户和开发者调用应有不同授权范围。对象 ID 只是定位符，攻击者能猜到或拿到 ID 不应获得读取权。把 WordPress 账户映射为外部模型请求时，上游密钥始终留在服务端。
追问与回答
设置 CORS 就能防止未授权调用吗
不能。CORS 主要约束浏览器读取跨源响应，服务端仍必须验证身份、资源权限和额度。
删除用户后旧 API Key 如何处理
授权检查应能识别用户失效并拒绝调用，同时撤销关联 Key、任务和可继续访问的结果链接。
易混淆点
- 将 nonce、CORS 或隐藏接口地址当作完整鉴权。
参考资料
内容来源
- Android 与 AI 工程 Wiki · 原条目
q145