从公共查看中隐藏WordPress REST API端点

Question

我想开始使用WordPress REST API v2来查询我网站上的信息。我注意到，当我直接访问端点时，我可以公开查看所有数据。我也看到很多教程都提到使用测试或本地服务器而不是现场网站。

我的问题是：

• 这是否意味着在生产网站上使用？
• 允许查看端点是否存在安全风险 任何人，例如显示所有用户的/wp-json/wp/v2/users/ 注册到网站？
• 是否可以仅允许授权用户访问端点？

我想确保我遵循有关安全性的最佳做法，因此任何提示都会有所帮助。其他人如何设置这些数据以供外部应用程序访问而不会暴露太多？

Answer 1

我能够隐藏默认端点，方法是在functions.php中添加以下内容，并设置仅包含我需要显示的数据的自定义端点。

remove_action( 'init', '_add_extra_api_post_type_arguments', 11 );
remove_action( 'init', '_add_extra_api_taxonomy_arguments', 11 );
remove_action( 'rest_api_init', 'create_initial_rest_routes', 0 );