有很多WordPress初学者，赖胖也是一样查了一些教程，觉得 WordPress REST API 应该禁用。也有人不敢随便禁止它，担心会产生不良后果。本文将介绍一下WordPress REST API究竟是干嘛的，应不应该禁用它，或者什么情况下可以禁用。
WordPress REST API 有什么作用？
API 是应用程序编程接口。REST，代表“REpresentational State Transfer”，是一组概念，用于将应用程序的数据建模和访问为相互关联的对象和集合。WordPress REST API 提供代表帖子、页面、分类法和其他内置 WordPress 数据类型的 REST 端点 (URL)。
WordPress REST API 为应用程序提供了一个接口，通过发送和接收JSON（JavaScript 对象表示法）对象形式的数据来与您的 WordPress 站点进行交互。
它是WordPress Block Editor的基础，同样可以使您的主题、插件或自定义应用程序提供新的、强大的界面来管理和发布您的网站内容。
通俗一些的讲，它就是一个接口
如WordPress默认的块编辑器，就会用到它，它是WordPress Block Editor的基础。如果这个接口被关闭或出现故障，就会出错。
还有一些基于WordPress开发插件，或基于WP的APP、小程序等，也会通过REST API与WordPress进行通信。
结论就是 WordPress REST API 并不是一个无用的功能。
到底需不需要禁用REST API？
虽然 WordPress REST API 很棒，但由于它是一个接口，并且通过URL可以进行调用。我们可以在自己的网站上试试：https://www.yousite.com/wp-json/ 这个Url，看看会返回什么。
如果访问https://www.yousite.com/wp-json/wp/v2/users，则会返回网站所有注册用户的用户名、ID、描述、头像等信息，返回如下示例：
[
{
"id": 1,
"name": "admin",
"url": "https://test.zhanzhangb.com",
"description": "",
"link": "https://test.zhanzhangb.com/author/test/",
"slug": "test",
"meta": [],
"_links": {
"self": [
{
"href": "https://test.zhanzhangb.com/wp-json/wp/v2/users/1"
}
],
"collection": [
{
"href": "https://test.zhanzhangb.com/wp-json/wp/v2/users"
}
]
}
}
]得到这些信息后，恶意攻击者可以开始猜测 WordPress 网站上所有用户名的密码（暴力攻击）。
默认状态下，如不禁用REST API会有以下风险
- 会透露WordPress站点的很多敏感信息，不利于安全。
- 当该URL有访问，会运行WordPress的大量程序脚本。如有人不断高频率扫描该URL，甚至会导致网站运行缓慢或卡死。
最佳的处理方法是默认禁用，但对相应用户或插件应用开放其访问权限。
如何正确禁用REST API，以及哪些情况需要开放权限？
常见需要使用REST API的应用是以下这些：
- Gutenberg 块编辑器使用 REST API在页面编辑和发布编辑时进行通信。如果完全禁用它，会得到一个错误：“更新失败。”
- Yoast SEO 和 Ryte 仪表板小部件。
- Jetpack
- Wordfence
- JetMenu
- Customer Reviews for WooCommerce
- 各种 WooCommerce 仪表板小部件。
如果以上插件与功能均仅网站管理员才有权限可使用的话，那么可以将REST API的非管理员权限禁用。
推荐使用Perfmatters插件对REST API进行安全操作，具体方式如下图：
如果要针对某插件或应用程序的API排除禁用，则可以在functions.php文件中，或使用或使用代码片段插件（推荐）插入以下代码：
add_filter('perfmatters_rest_api_exceptions', function($exceptions) {
$exceptions[] = '需要排除的api';
return $exceptions;
});验证效果
当在未登录状态下，再次访问https://www.yousite.com/wp-json/ 或https://www.yousite.com/wp-json/wp/v2/users，如设置正确将得到以下提示并返回401状态码：
{
"code": "rest_authentication_error",
"message": "很抱歉，您没有发出 REST API 请求的权限。",
"data": {
"status": 401
}
}