Web Design Leaves

add_filter('rest_authentication_errors', function ($result) {
  if (true === $result || is_wp_error($result)) {
    return $result;
  }

  // 編集権限があるユーザーは許可（管理画面の機能を使えるように）
  if (current_user_can('edit_posts') || current_user_can('edit_pages')) {
    return $result;
  }

  // REST API リクエストルートを取得
  global $wp;
  // /wp-json/ 以降のパスが取れる（例: /contact-form-7/v1 や /wp/v2/posts など）
  $rest_route = isset($wp->query_vars['rest_route']) ? $wp->query_vars['rest_route'] : '';

  // 許可するルート
  $allowed_routes = [
    '/oembed/1.0',                 // Embed 用
    '/contact-form-7/v1',          // Contact Form 7 用
    '/akismet/v1',                 // Akismet 用
    '/my-theme-api/v1',            // カスタムエンドポイント 用
  ];

  // 対象のルートは許可
  foreach ($allowed_routes as $allowed_route) {
    if (strpos($rest_route, $allowed_route) === 0) {
      return $result; // 許可対象ならOK
    }
  }

  // それ以外はエラーを返す
  return new WP_Error(
    'rest_not_logged_in',
    __('You are not currently logged in.', 'text-domain'),
    array('status' => 401)
  );
});

// 編集権限のあるユーザー及び指定したプラグインに REST API を許可（それ以外は無効にする）
add_filter('rest_pre_dispatch', function ($result, $server, $request) {
  // 念のため、リクエストオブジェクトの型チェック （ WP_REST_Request 以外なら処理しない ）※省略可能
  if (! ($request instanceof WP_REST_Request)) {
    return $result;
  }

  // 投稿・固定ページの編集権限があるユーザーなら許可（例: Gutenberg使用者）
  if (current_user_can('edit_posts') || current_user_can('edit_pages')) {
    return $result;
  }

  // ルート取得（先頭スラッシュを除去）
  $route = ltrim($request->get_route(), '/');

  // ルートが空の場合は REST API を無効化
  if (empty($route)) {
    return new WP_Error(
      'rest_disabled',
      __('The REST API on this site has been disabled.', 'text-domain'),
      array('status' => 403)
    );
  }

  // スラッシュでルートを分割して namespace を抽出（例: "contact-form-7/v1"）
  $parts = explode('/', $route);
  $namespace = isset($parts[0]) && isset($parts[1]) ? $parts[0] . '/' . $parts[1] : '';

  // 許可する namespace 一覧（oEmbed、Contact Form 7、Akismet）
  $permitted_namespaces = [
    'oembed/1.0',          // Embed 用
    'contact-form-7/v1',   // Contact Form 7 用
    'akismet/v1',          // Akismet 用
    'my-theme-api/v1',     // カスタムエンドポイント 用
  ];

  // 許可リストに含まれていれば通過
  if (in_array($namespace, $permitted_namespaces, true)) {
    return $result;
  }

  // それ以外は REST API を無効化（ステータス 403）
  return new WP_Error(
    'rest_disabled',
    __('The REST API on this site has been disabled.', 'text-domain'),
    array('status' => 403)
  );
}, 10, 3);

foreach ($restricted_routes as $restricted_route) {
  if (strpos($rest_route, $restricted_route) === 0) {
    // Origin が空（same-origin）または許可された Origin の場合は許可
    if (empty($origin) || in_array($origin, $allowed_origins, true)) {
      return $result; // 特定の Origin と同一オリジンのみ許可
    } else {
      return new WP_Error(
        'rest_forbidden_origin',
        __('Origin not allowed for this endpoint.', 'text-domain'),
        array('status' => 403)
      );
    }
  }
}

add_filter('rest_request_before_callbacks', function ($response, $handler, $request) {
  // ルートを取得し、先頭スラッシュを除去
  $route = ltrim($request->get_route(), '/');

  // ルートを分割して namespace を取得
  $parts = explode('/', $route);
  $namespace = isset($parts[0], $parts[1]) ? $parts[0] . '/' . $parts[1] : '';

  // 許可する namespace 一覧
  $allowed_namespaces = [
    'wp/v2',
    'my-theme-api/v1',
  ];

  $my_api_key = defined('MY_API_KEY') ? constant('MY_API_KEY') : '';

  // namespace が許可リストに含まれる場合、APIキー認証を実施
  if (in_array($namespace, $allowed_namespaces, true)) {
    $headers = function_exists('getallheaders') ? getallheaders() : [];
    $api_key = $headers['X-API-Key'] ?? ($_SERVER['HTTP_X_API_KEY'] ?? '');

    if ($api_key !== $my_api_key) {
      return new WP_Error(
        'rest_forbidden',
        __('Invalid or missing API key.', 'text-domain'),
        array('status' => 403)
      );
    }
  }

  return $response;
}, 10, 3);

 $api_key = $headers['X-API-Key'] ?? ($_SERVER['HTTP_X_API_KEY'] ?? '');

$api_key = '';

// まず getallheaders() で取得
if (isset($headers['X-API-Key'])) {
  $api_key = $headers['X-API-Key'];
}
// getallheaders() で取れなかったら $_SERVER 経由で取得（環境によってはこちらしか使えないことも）
elseif (isset($_SERVER['HTTP_X_API_KEY'])) {
  $api_key = $_SERVER['HTTP_X_API_KEY'];
}

add_filter('rest_pre_dispatch', function ($result, $server, $request) {

  // 投稿・固定ページの編集権限があるユーザーなら許可（例: Gutenberg使用者）
  if (current_user_can('edit_posts') || current_user_can('edit_pages')) {
    return $result;
  }

  // ルート取得（先頭スラッシュを除去）
  $route = ltrim($request->get_route(), '/');

  // ルートが空の場合は REST API を無効化
  if (empty($route)) {
    return new WP_Error(
      'rest_disabled',
      __('The REST API on this site has been disabled.', 'text-domain'),
      array('status' => 403)
    );
  }

  // スラッシュでルートを分割して namespace を抽出（例: "contact-form-7/v1"）
  $parts = explode('/', $route);
  $namespace = isset($parts[0]) && isset($parts[1]) ? $parts[0] . '/' . $parts[1] : '';

  // 許可する namespace 一覧（oEmbed、Contact Form 7、Akismet）
  $permitted_namespaces = [
    'oembed/1.0',          // Embed 用
    'contact-form-7/v1',   // Contact Form 7 用
    'akismet/v1',          // Akismet 用
  ];

  // 許可リストに含まれていれば通過
  if (in_array($namespace, $permitted_namespaces, true)) {
    return $result;
  }

  // API キーを確認するルートの namespace
  $header_required_namespaces = [
    'my-theme-api/v1',     // カスタムエンドポイント 用
    'wp/v2',  // WordPress のエンドポイント用
  ];

  // リストに含まれていればヘッダーから API キーを取得してチェック
  if (in_array($namespace, $header_required_namespaces, true)) {
    // getallheaders が使えれば（存在すれば）
    $headers = function_exists('getallheaders') ? getallheaders() : [];

    $api_key = $headers['X-API-Key'] ?? ($_SERVER['HTTP_X_API_KEY'] ?? '');

    // wp-config.php に定義した API キーを取得
    $my_api_key = defined('MY_API_KEY') ? constant('MY_API_KEY') : '';

    // API キーをチェック
    if ($api_key === $my_api_key) {
      // API キーが正しければ許可
      return $result;
    }
  }

  // それ以外は REST API を無効化（ステータス 403）
  return new WP_Error(
    'rest_disabled',
    __('The REST API on this site has been disabled.', 'text-domain'),
    array('status' => 403)
  );
}, 10, 3);

add_filter('rest_authentication_errors', function ($result) {
  if (true === $result || is_wp_error($result)) {
    return $result;
  }

  // 編集権限があるユーザーは許可（管理画面の機能を使えるように）
  if (current_user_can('edit_posts') || current_user_can('edit_pages')) {
    return $result;
  }

  // REST API リクエストルートを取得
  global $wp;
  // /wp-json/ 以降のパスが取れる（例: /contact-form-7/v1 や /wp/v2/posts など）
  $rest_route = isset($wp->query_vars['rest_route']) ? $wp->query_vars['rest_route'] : '';

  // 許可するルート
  $allowed_routes = [
    '/oembed/1.0',                 // Embed 用
    '/contact-form-7/v1',          // Contact Form 7 用
    '/akismet/v1',                 // Akismet 用
  ];

  // 対象のルートは許可
  foreach ($allowed_routes as $allowed_route) {
    if (strpos($rest_route, $allowed_route) === 0) {
      return $result; // 許可対象ならOK
    }
  }

  // API キーを確認するルート
  $header_required_routes = [
    '/my-theme-api/v1',   // カスタムエンドポイント
    '/wp/v2',             // WordPress のエンドポイント
  ];

  // リストに含まれていればヘッダーから API キーを取得してチェック
  if (in_array($rest_route, $header_required_routes, true)) {
    // getallheaders が使えれば（存在すれば）
    $headers = function_exists('getallheaders') ? getallheaders() : [];

    $api_key = $headers['X-API-Key'] ?? ($_SERVER['HTTP_X_API_KEY'] ?? '');

    // wp-config.php に定義した API キーを取得
    $my_api_key = defined('MY_API_KEY') ? constant('MY_API_KEY') : '';

    // API キーをチェック
    if ($api_key === $my_api_key) {
      // API キーが正しければ許可
      return $result;
    }
  }

  // それ以外はエラーを返す
  return new WP_Error(
    'rest_not_logged_in',
    __('You are not currently logged in.', 'text-domain'),
    array('status' => 401)
  );
});

add_filter('rest_pre_dispatch', function ($result, $server, $request) {
  // ルート取得（先頭スラッシュを除去）
  $route = ltrim($request->get_route(), '/');

  // スラッシュでルートを分割して namespace を抽出
  $parts = explode('/', $route);
  $namespace = isset($parts[0]) && isset($parts[1]) ? $parts[0] . '/' . $parts[1] : '';

  // API キーを確認する namespace 一覧
  $permitted_namespaces = [
    'my-theme-api/v1',     // カスタムエンドポイント
    'wp/v2',               // WordPress のエンドポイント
  ];

  // リストに含まれていれば Authorization ヘッダーを確認
  if (in_array($namespace, $permitted_namespaces, true)) {
    // getallheaders が使えれば（存在すれば）
    $headers = function_exists('getallheaders') ? getallheaders() : [];

    $auth_header = ''; // Authorization ヘッダーの値を初期化

    // まず getallheaders() で取得
    if (isset($headers['Authorization'])) {
      $auth_header = $headers['Authorization'];
    }
    // getallheaders() が使えない場合は $_SERVER 経由で取得（Apache/Nginx の場合）
    elseif (isset($_SERVER['HTTP_AUTHORIZATION'])) {
      $auth_header = $_SERVER['HTTP_AUTHORIZATION'];
    }

    // Authorization ヘッダー形式: "ApiKey {APIキー}" と想定
    $token = '';  // Authorization ヘッダーに指定された API キーの値（トークン）を初期化
    if (preg_match('/ApiKey\s(.+)/', $auth_header, $matches)) {
      $token = trim($matches[1]);
    }

    // wp-config.php に定義した API キー
    $my_api_key = defined('MY_API_KEY') ? constant('MY_API_KEY') : '';

    // トークンと API キーが一致するか
    if ($token !== $my_api_key) {
      return new WP_Error(
        'rest_forbidden',
        __('Invalid or missing Authorization token.', 'text-domain'),
        array('status' => 403)
      );
    }
  }

  return $result;
}, 10, 3);

// config/api-config.php から API キー（定数 API_KEY）を読み込む
require_once __DIR__ . '/config/api-config.php';

// フロントエンドから送信された URL パラメータを取得（GET方式）
$url = $_GET['url'] ?? '';

// URL パラメータが未指定または空の場合は 400 Bad Request を返して終了
if (empty($url)) {
  http_response_code(400);
  header('Content-Type: application/json');
  echo json_encode(['error' => 'Missing URL']);
  exit;
}

// URL の妥当性をチェック
if (!filter_var($url, FILTER_VALIDATE_URL)) {
  http_response_code(400);
  header('Content-Type: application/json');
  echo json_encode(['error' => 'Invalid URL']);
  exit;
}

// cURL を使用して外部 API にリクエストを送信
$ch = curl_init($url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true); // レスポンスを文字列として取得
curl_setopt($ch, CURLOPT_HTTPHEADER, [
  'X-API-Key: ' . API_KEY,              // API キーをカスタムヘッダーに含める
  'Content-Type: application/json',
]);

$response = curl_exec($ch);                        // 実行
$curlError = curl_error($ch);                      // cURL エラー内容（失敗時）
$httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE); // HTTPステータスコード取得
curl_close($ch);                                   // cURLセッションを終了

// JSON としてレスポンスを返す
header('Content-Type: application/json');
// HTTP ステータスをレスポンスに反映
http_response_code($httpCode ?: 500);

// エラーハンドリングとレスポンス出力
if ($response === false) {
  echo json_encode([
    'error' => 'cURL エラー',
    '詳細' => $curlError,
  ]);
} else {
  echo $response; // API からの生レスポンスをそのまま返す（必要に応じて整形可能）
}

<?php
define('API_KEY', 'abc123def456');

// WordPress REST API カスタムエンドポイントのベース URL
const apiUrl = "https://example.com/wp/wp-json/wp/v2/posts";
// クエリパラメータを構築
const params = new URLSearchParams({
  _fields: "title,link", // 必要なフィールドのみ取得
  per_page: 5, // 1ページあたりの投稿数
}).toString();

// PHP 中継ファイルのエンドポイントに、URLパラメータを渡す
const proxyUrl = `api/fetch-posts.php?url=${ encodeURIComponent(`${apiUrl}?${params}`) }`;

// fetch() で中継ファイルにリクエストを送信
fetch(proxyUrl, {
  method: "GET",
})
  .then(async (response) => {
    // レスポンスヘッダーから Content-Type を取得
    const contentType = response.headers.get("Content-Type") || "";
    let errorData = null;
    // レスポンスが失敗している（ステータスコードが 200 番台以外）
    if (!response.ok) {
      if (contentType.includes("application/json")) {
        errorData = await response.json(); // JSON形式のエラーデータを取得
      } else {
        const text = await response.text(); // テキスト形式の場合
        errorData = { error: text };
      }
      // エラー内容を例外として投げる（catch で受ける）
      throw new Error(errorData.error || `HTTPエラー: ${response.status}`);
    }
    // 成功時は JSON データをパースして返す
    return response.json();
  })
  .then((posts) => {
    // 投稿データをコンソールに出力（実際の処理に応じて変更可能）
    console.log(posts);
  })
  .catch((error) => {
    console.warn("投稿の取得エラー:", error);
  });

add_filter('rest_pre_serve_request', function ($served, $result, $request, $server) {
  // 許可するオリジンのリスト（複数対応可）
  $allowed_origins = [
    'http://example.com',
    'https://example.com',
    'http://example.localhost:5501',
  ];
  // リクエストヘッダーから Origin を取得
  $origin = $_SERVER['HTTP_ORIGIN'] ?? '';
  // リクエスト元の Origin が許可リストに含まれているか確認
  $is_allowed = in_array($origin, $allowed_origins, true);

  // プリフライトリクエスト対応（OPTIONS の場合は、先に CORS ヘッダーを設定して即応答）
  if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    if ($is_allowed) {
      header("Access-Control-Allow-Origin: {$origin}"); // 許可するオリジン（ドメイン）
      header("Access-Control-Allow-Methods: GET, POST, OPTIONS"); // 許可する HTTPメソッド
      header("Access-Control-Allow-Headers: Authorization, X-API-KEY, Content-Type"); // 含めてもよいヘッダー
      header("Access-Control-Allow-Credentials: true");// Cookie や認証情報を送信可能にする（必要に応じて）
      header("Access-Control-Max-Age: 86400"); // プリフライト結果のキャッシュ期間（秒）最大1日キャッシュ
      header("Vary: Origin"); // キャッシュの誤適用を防止
    }
    // 許可されていないオリジンからのOPTIONSリクエストにはCORSヘッダーを付けずに空レスポンスを返す
    header('Content-Length: 0');
    header('Content-Type: text/plain');  // 省略可能
    return true; // WordPressに「レスポンスは処理済み」と知らせる（true を返す）
  }

  // 通常のCORS付きリクエスト（GET/POSTなど）に対するヘッダー設定
  if ($is_allowed) {
    header("Access-Control-Allow-Origin: {$origin}");
    header("Access-Control-Allow-Methods: GET, POST, OPTIONS");
    header("Access-Control-Allow-Headers: Authorization, X-API-KEY, Content-Type");
    header("Access-Control-Allow-Credentials: true");
    header("Access-Control-Max-Age: 86400");
    header("Vary: Origin");
  }

  return $served; // 通常のレスポンスは WordPress に任せる
}, 10, 4);