Механизм сброса пароля в WordPress: от стандартной формы до кастомных решений

Расширенные примеры для углублённого понимания процесса сброса пароля.

Расширенные примеры

Пример 1: Полная кастомная страница сброса пароля

Создадим шаблон страницы, который эмулирует стандартный wp-login.php?action=rp, но с собственным дизайном. Используем хуки login_form_rp и login_form_resetpass.

// В functions.php
function custom_reset_password_form() {
    if (isset($_GET['action']) && $_GET['action'] === 'rp') {
        // Проверка ключа и логина
        $key = sanitize_text_field($_GET['key']);
        $login = sanitize_text_field($_GET['login']);
        // Используем стандартную проверку
        $user = check_password_reset_key($key, $login);
        if (is_wp_error($user)) {
            echo 'Ссылка недействительна или устарела.';
            return;
        }
        // Отображаем форму
        ?>
        <form method="post">
            <input type="hidden" name="rp_key" value="<?php echo esc_attr($key); ?>" />
            <input type="hidden" name="rp_login" value="<?php echo esc_attr($login); ?>" />
            <label>Новый пароль:</label>
            <input type="password" name="pass1" required />
            <label>Повтор пароля:</label>
            <input type="password" name="pass2" required />
            <input type="submit" value="Сохранить" />
        </form>
        <?php
        // Обработка отправки формы
        if (isset($_POST['pass1'])) {
            $password = $_POST['pass1'];
            $password_confirm = $_POST['pass2'];
            if ($password !== $password_confirm) {
                echo 'Пароли не совпадают.';
            } else {
                reset_password($user, $password);
                echo 'Пароль изменён. Теперь вы можете войти.';
                // Перенаправление
                // wp_redirect(wp_login_url()); exit;
            }
        }
    }
}

Результат: форма работает без стандартного wp-login.php, используя кастомный шаблон.

Пример 2: Сброс пароля через REST API

WordPress предоставляет эндпоинты для сброса пароля через API. Используем /wp/v2/users/reset-password (требуется плагин или кастомный endpoint).

// Регистрация маршрута
add_action('rest_api_init', function() {
    register_rest_route('myplugin/v1', '/reset-password', array(
        'methods' => 'POST',
        'callback' => 'my_reset_password_endpoint',
        'permission_callback' => '__return_true',
    ));
});

function my_reset_password_endpoint($request) {
    $user_login = $request->get_param('user_login');
    $user = get_user_by('login', $user_login);
    if (!$user) {
        return new WP_Error(404, 'Пользователь не найден');
    }
    // Генерируем ключ и отправляем email
    require_once ABSPATH . 'wp-includes/class-wp-user.php';
    $key = get_password_reset_key($user);
    if (is_wp_error($key)) {
        return $key;
    }
    // Отправка письма
    $message = 'Ваша ссылка для сброса: ' . network_site_url("wp-login.php?action=rp&key=$key&login=" . rawurlencode($user->user_login));
    wp_mail($user->user_email, 'Сброс пароля', $message);
    return array('success' => true, 'message' => 'Ссылка для сброса отправлена на email');
}

Результат: можно отправлять POST-запрос /wp-json/myplugin/v1/reset-password с параметром user_login.

Пример 3: Сброс пароля с ограничением по роли

Требуется разрешить сброс пароля только для определённых ролей (например, только для подписчиков).

add_filter('allow_password_reset', function($allow, $user_id) {
    $user = get_userdata($user_id);
    if ($user && in_array('subscriber', $user->roles)) {
        return $allow;
    }
    return false; // запретить сброс для всех остальных
}, 10, 2);

Результат: форма сброса на wp-login.php будет отклонять запросы для непривилегированных ролей с сообщением об ошибке.

Пример 4: Использование nonce для защиты кастомной формы

// Генерация nonce полей
wp_nonce_field('custom_reset_password', 'reset_nonce');

// Проверка при обработке
if (!wp_verify_nonce($_POST['reset_nonce'], 'custom_reset_password')) {
    die('Security check');
}

Результат: усиленная защита от CSRF-атак.