WordPress.Безопасность.ПроверкаNonce.Рекомендуется

Я пытаюсь программировать свой первый плагин для WordPress. Он работает довольно хорошо, но я получаю некоторые предупреждения при проверке моего плагина с помощью Plugin Check (PCP). Вот они:

Строка   Столбец  Тип     Код    Описание     Редактировать ссылку
95  27  WARNING     WordPress.Security.NonceVerification.Recommended    Обработка данных формы без проверки nonce.    
95  59  WARNING     WordPress.Security.NonceVerification.Recommended    Обработка данных формы без проверки nonce.    
143     48  WARNING     WordPress.Security.NonceVerification.Recommended    Обработка данных формы без проверки nonce.    
143     73  WARNING     WordPress.Security.NonceVerification.Recommended    Обработка данных формы без проверки nonce. 

Соответствующий код в строке 95 выглядит следующим образом:

// Проверка nonce для пагинации
if (isset($_GET['paged']) && !empty($_GET['paged'])) {
    if (!isset($_GET['_wpnonce']) || !wp_verify_nonce($_GET['_wpnonce'], 'pagination_nonce')) {
        echo '<p>Неверный запрос. Пожалуйста, попробуйте еще раз.</p>';
        return;
    }
}

Соответствующий код в строке 143 выглядит следующим образом:

// Проверка nonce для delete_selected
if (isset($_POST['delete_selected']) && isset($_POST['media_ids']) && is_array($_POST['media_ids'])) {
    if (check_admin_referer('delete_unused_media', 'delete_unused_media_nonce')) {
        delete_selected_media($_POST['media_ids']);
    } else {
        echo '<p>Неверный запрос. Пожалуйста, попробуйте еще раз.</p>';
    }
}

Теперь я работал несколько дней над тем, что я мог бы изменить, чтобы предупреждения больше не появлялись, но у меня не получается. Может кто-нибудь помочь мне?

[Сравнение] У меня была та же проблема с похожим кодом, чтобы получить входное значение из $_REQUEST['plugin']; так же, как ваш код, который хочет получить входное значение из $_GET['paged'].

Этот код читает $_REQUEST['plugin'] один раз, а затем использует эту внутреннюю переменную в дальнейшем. Если она не существует, код будет работать с строковым значением ”; что совместимо с empty(), и т.д.

$request = isset($_REQUEST['plugin']) ? $_REQUEST['plugin'] : '';

Запуск ‘Plugin Check (PCP) 1.2.0’ выявил 3 предупреждения с этим единственным утверждением.

Начнем с WordPress.Security.NonceVerification.Recommended.

Интересно, что все 3 предупреждения относятся к одной и той же строке и столбцу (то есть к одному и тому же утверждению).

[Расследование] Эксперименты с большим количеством кодовой смеси показали, что ‘столбец’ конкретно указывает на интересующее утверждение в предупреждении.

~столбец 45 для $_REQUEST['plugin'] в моем коде.

~столбец 27 для !empty($_GET['paged']) в вашем коде.

[Решение] Устранение 2-го и 3-го предупреждений привело к исчезновению 1-го предупреждения. Больше никакого WordPress.Security.NonceVerification.Recommended.

Конкретно добавив sanitize_text_field(wp_unslash( )) к первому утверждению, которое пыталось использовать входное значение.

Мой оригинальный код:
$request = isset($_REQUEST['plugin']) ? $_REQUEST['plugin'] : '';

Мой новый код:
$request = isset($_REQUEST['plugin']) ? sanitize_text_field(wp_unslash($_REQUEST['plugin'])) : '';

Запуск ‘Plugin Check (PCP) 1.2.0’ теперь не имеет предупреждений; даже nonce исчезло.

[Рекомендация] Не могли бы вы попробовать очистить входное значение перед его первым использованием. В данном случае оно используется как параметр для empty().

Ваш оригинальный код:
if (isset($_GET['paged']) && !empty($_GET['paged'])) {

Ваш новый код:
if (isset($_GET['paged']) && !empty(sanitize_text_field(wp_unslash($_GET['paged'])))) {

Тогда каждое использование входного значения также нужно будет очистить перед использованием в любых сравнениях или присваиваниях: $_GET['paged'], $_GET['_wpnonce'] и $_POST['media_ids'].

Будьте осторожны при выборе, какую функцию sanitize_ использовать для каждого входного значения. Ознакомьтесь с официальным списком функций очистки WordPress и проведите эксперименты, чтобы найти подходящую для каждого случая.

Возможно, вам не нужно будет ничего менять для $_POST['delete_selected'], потому что оно используется только в isset(); что, похоже, является устойчивым к предупреждениям (предположительно, потому что это не оператор сравнения или присваивания?).

Тогда запуск ‘Plugin Check (PCP) 1.2.0’ больше не должен показывать предупреждение о nonce.