Как добавить пользовательскую аутентификацию на страницу входа и регистрации WordPress.

Я хочу создать функцию, которая остановит процесс входа в WordPress и позволит пользователю ввести код OTP или форму для подтверждения перед полным входом. Я намерен сделать это перехватывание сразу после ввода пользователем электронной почты и пароля.

Вот что я попытался сделать:

add_filter( 'authenticate', 'smyles_check_custom_auth', 10, 3 );

function smyles_check_custom_auth( $user, $username, $password ){

    $otp_check = 'bad';  // переменная, возвращаемая из запроса, но для тестирования использую 'bad'

    if( !$otp_check == 'good' ){

          return confirm_form();

    }
    elseif($otp_check == 'good'){

        return $user;
    }

    return new WP_Error( __( 'Ошибка проверки OTP' ) );

}

Однако это не сработало, оно просто останавливает форму от проверки без каких-либо сообщений об ошибках, если я устанавливаю приоритет 20,3.

Моя цель – сначала проверить имя пользователя и пароль, а затем кнопка отправки и поля имени пользователя и пароля будут отключены, и покажется мой код подтверждения OTP. Как только пользователь подтвердит правильный OTP, процесс входа продолжится, что будет перенаправлением, надеюсь, в админку. Если я устанавливаю уровень приоритета на 10, 3, форма отправляется, и пользователь входит, независимо от введенного кода.

Рабочий процесс выглядит так:

1. Пользователь вводит свое имя пользователя и пароль.
2. Wp_authenticate() проверяет, если имя пользователя и пароль совпадают с пользователем в таблице wp_users.
3. Если совпадает, тогда вызывается мой метод, который отправляет OTP на электронную почту пользователя.
4. Вызывается фильтр wp_disable_username_and_password_boxes или полей.
5. Вызывается мой метод confirmotp(), который является простой HTML-формой для ввода кода OTP.
6. Мой метод verify() проверяет код OTP и возвращает различные ошибки, такие как количество цифр, является ли числом, ошибки несовпадения и т.д.
7. Но если возвращаемое значение из моего запроса проверки OTP истинно или нормально, тогда…
8. Вызывается перенаправление на wpadmin, что является частью процесса входа.

Таким образом, вся моя проблема заключается в том, чтобы узнать хук, который я могу использовать в моем confirm_form(), чтобы он выполнялся после проверки имени пользователя и пароля, но до вызова действия wpsignon(). Просто промежуточный перехват.

Да, есть фильтр authenticate, в который вы можете подключиться в функции wp_authenticate и вернуть WP_Error, если вход не удался.

/**
 * Фильтрует, являются ли учетные данные пользователя действительными.
 *
 * Объект WP_User возвращается, если учетные данные аутентифицируют пользователя.
 * WP_Error или null в противном случае.
 *
 * @since 2.8.0
 * @since 4.5.0 `$username` теперь принимает адрес электронной почты.
 *
 * @param null|WP_User|WP_Error $user     WP_User, если пользователь аутентифицирован.
 *                                        WP_Error или null в противном случае.
 * @param string                $username Имя пользователя или адрес электронной почты.
 * @param string                $password Пароль пользователя
 */
$user = apply_filters( 'authenticate', null, $username, $password );

Вот как WordPress внутренне проверяет имя пользователя и пароль, это стандартные фильтры:

add_filter( 'authenticate', 'wp_authenticate_username_password', 20, 3 );
add_filter( 'authenticate', 'wp_authenticate_email_password', 20, 3 );
add_filter( 'authenticate', 'wp_authenticate_spam_check', 99 );

Я рекомендую устанавливать ваш фильтр с приоритетом 10 или ниже 20 (что происходит, когда проверяются имя пользователя и пароль), чтобы ваша проверка выполнялась первой.

Если ваш тест проходит, просто верните первую переданную переменную, например:

add_filter( 'authenticate', 'smyles_check_custom_auth', 10, 3 );

function smyles_check_custom_auth( $user, $username, $password ){

    $otp_check = false;

    if( $otp_check ){
        return $user;
    }

    return new WP_Error( __( 'Ошибка проверки OTP' ) );
}