wp_nonce_field() — описание функции WordPress на русском

Сигнатура

wp_nonce_field( int|string $action = -1, string $name = '_wpnonce', bool $referer = true, bool $display = true ): string

Описание

Поле одноразового защитного кода используется для проверки того, что содержимое формы пришло со страницы текущего сайта, а не откуда-то ещё. Одноразовый защитный код не даёт абсолютной защиты, но защищает в большинстве случаев. Очень важно использовать это поле в формах.
$action и $name необязательны, но если вы хотите повысить безопасность, настоятельно рекомендуется задать эти два параметра. Проще вызвать функцию вообще без параметров, поскольку для проверки одноразового защитного кода параметры не требуются, но так как взломщики знают значение по умолчанию, им не составит труда обойти защиту и причинить вред.
Имя поля будет соответствовать переданному значению $name. Значением поля будет сгенерированный одноразовый защитный код.

Оригинал (английский)

The nonce field is used to validate that the contents of the form came from the location on the current site and not somewhere else. The nonce does not offer absolute protection, but should protect against most cases. It is very important to use nonce field in forms.

The $action and $name are optional, but if you want to have better security, it is strongly suggested to set those two parameters. It is easier to just call the function without any parameters, because validation of the nonce doesn’t require any parameters, but since crackers know what the default is it won’t be difficult for them to find a way around your nonce and cause damage.

The input name will be whatever $name value you gave. The input value will be the nonce creation value.

Параметры

$action int|string необязательный = -1

Имя действия.

$name string необязательный = '_wpnonce'

Имя одноразового защитного кода. Значение по умолчанию '_wpnonce'.

$referer bool необязательный = true

Задавать ли поле реферера для проверки.

$display bool необязательный = true

Выводить или возвращать скрытое поле формы.

Возвращаемое значение

string

Исходный код

wp-includes/functions.php:1899

function wp_nonce_field( $action = -1, $name = '_wpnonce', $referer = true, $display = true ) {
	$name        = esc_attr( $name );
	$nonce_field = '<input type="hidden" id="' . $name . '" name="' . $name . '" value="' . wp_create_nonce( $action ) . '" />';

	if ( $referer ) {
		$nonce_field .= wp_referer_field( false );
	}

	if ( $display ) {
		echo $nonce_field;
	}

	return $nonce_field;
}

История изменений

Версия	Описание
2.0.4	Introduced.