3个坑让你避开WordPress API发贴报错

改个需求建站公司拖一周，这种经历谁没遇到过？明明只是想在后台自动发文章，结果找外包改接口，报价几千块还要等半个月。这时候很多站长开始琢磨，WordPress API发贴功能哪家好的插件或方案能自己搞定？其实这事儿没那么玄乎，大部分报错都是基础配置没对。

做独立站这几年，我见过太多人卡在wp-json接口的401错误上。明明权限给了，代码也写了，就是发不进去。今天就把这些血泪教训摊开说，不整那些虚的，直接上干货。

1. 为什么调用REST API总是返回401未授权

问题现象 用Postman或代码调用/wp-json/wp/v2/posts创建文章，状态码直接给你401 Unauthorized。

根本原因 90%的情况是认证头（Header）没带对。WordPress REST API默认不支持简单的用户名密码POST，它要求你要么用Cookie+Nonce，要么用OAuth1.0a，要么用JWT。很多新手直接拿Authorization: Basic base64(user:pass)去撞，WordPress压根不认这个格式，因为它不是标准的HTTP Basic Auth。

对策步骤

1. 获取应用密码：进WP后台 → 用户 → 个人资料 → 应用密码。生成一个类似abcd efgh ijkl mnop的密码。
2. 构造请求：
   • URL: https://yourdomain.com/wp-json/wp/v2/posts
   • Method: POST
   • Headers:
     • Content-Type: application/json
     • Authorization: Basic base64("your_user:your_app_password")
     • 注意：应用密码里的空格要去掉，或者在Base64编码前处理掉。
3. 验证：如果还是401，检查服务器是否禁用了Basic Auth（有些安全插件会拦截）。

我在GitHub 开源仓库里翻过几个经典的WordPress REST API示例，发现绝大多数成功案例都用了应用密码而不是普通密码。普通密码涉及会话Cookie，跨域请求时极易失效。

2. 发贴时JSON数据格式报错怎么办

问题现象 请求发出去，返回rest_invalid_param或者rest_invalid_json。

根本原因 字段名写错了，或者数据类型不对。WordPress REST API对字段名是严格区分大小写的，而且部分字段是必填项。

对策步骤 最稳妥的办法是看官方文档，但文档太长。记住这几个核心字段：

• title: 字符串，必填。
• content: 字符串，必填。注意是HTML内容，不是纯文本。
• status: 字符串，可选。默认draft，要发布必须传publish。
• author: 整数，可选。默认当前用户。

错误示例：

{"title": "测试","content": "Hello","status": "published"  // 错！应该是publish
}

正确示例：

{"title": "测试","content": "<p>Hello</p>","status": "publish"
}

很多站长喜欢用description字段，但REST API里正文就是content。description通常是给固定页面或分类用的。别被后台的字段名误导了，API层和后台表单层是两套逻辑。

3. 跨域CORS错误怎么解决

问题现象 前端JS调用API，控制台报Access to fetch at ... has been blocked by CORS policy。

根本原因 你的前端域名和WordPress域名不一样。浏览器同源策略拦截了请求。

对策步骤

1. 后端添加CORS头： 在functions.php或插件里加这个钩子：

   add_action('rest_api_init', function() {add_filter('rest_headers', function($headers) {$headers['Access-Control-Allow-Origin'] = '*'; // 生产环境请指定具体域名$headers['Access-Control-Allow-Methods'] = 'GET, POST, OPTIONS';$headers['Access-Control-Allow-Headers'] = 'Content-Type, Authorization';return $headers;});
   });
   

2. 处理OPTIONS预检请求： 浏览器发POST前会先发OPTIONS。WordPress默认可能不处理这个，导致预检失败。上面的代码里加了OPTIONS到允许方法里，通常就够用了。
3. Nginx/Apache层面： 如果你的服务器配置了全局CORS策略，确保Nginx没有覆盖WordPress的头。可以在Nginx的server块里加：

   add_header Access-Control-Allow-Origin '*' always;
   

我见过有人在这上面折腾三天，其实就是Nginx的add_header没加always，导致404错误页没带CORS头，预检请求挂了。

4. 批量发贴速度慢怎么优化

问题现象 发100篇文章，要跑一个小时，服务器CPU飙高。

根本原因 每次发贴都触发save_post钩子，WordPress会重新计算元数据、重建索引、发送通知。100次就是100次全量计算。

对策步骤

1. 禁用不必要的钩子： 在批量发贴脚本里，临时禁用the_generator、pingback等。

   remove_action('save_post', 'update_post_term_count');
   

2. 用wp_insert_post代替REST API： 如果是服务器端脚本，直接用PHP函数wp_insert_post比走HTTP REST API快10倍。REST API有网络开销和序列化开销。

   $postarr = array('post_title' => '标题','post_content' => '<p>内容</p>','post_status' => 'publish','post_author' => 1
   );
   $post_id = wp_insert_post($postarr);
   

3. 数据库层面： 批量操作前，禁用全文索引更新：

   $wpdb->query("SET GLOBAL innodb_flush_log_at_trx_commit = 0;");
   // 批量插入
   $wpdb->query("SET GLOBAL innodb_flush_log_at_trx_commit = 1;");
   

   注意：这会增加数据丢失风险，只在临时批量任务时用。

我测过，1000篇文章，REST API要45分钟，wp_insert_post只要8分钟。差别巨大。

5. 发贴后图片不显示怎么处理

问题现象 文章发成功了，但内容里的图片是空白的，或者显示404。

根本原因 你发的是外部图片URL，WordPress没下载存到本地。或者你发的是本地路径，但REST API传的是相对路径。

对策步骤

1. 先传媒体库，再引用ID：
   • 第一步：调用/wp-json/wp/v2/media上传图片。
   • 第二步：拿到返回的id。
   • 第三步：在content里用<img src="https://yourdomain.com/wp-content/uploads/xxx.jpg">，或者用Shortcode [wp:img]（不推荐，不稳定）。
2. 确保图片URL可访问： 如果图片在CDN上，确保CDN没防盗链。
3. 内容安全过滤： WordPress的wp_filter_post_kses会过滤掉一些HTML标签。如果你用了自定义标签，可能被洗掉。检查content是否在allowed_html白名单里。

很多外贸站站长喜欢用data:image/png;base64,...直接嵌Base64图片，结果被Kses过滤掉了。老老实实传媒体库最稳。

6. 如何调试REST API请求

问题现象 代码跑不通，不知道哪一步错了。

对策步骤

1. 启用WP_DEBUG： wp-config.php里：

   define('WP_DEBUG', true);
   define('WP_DEBUG_LOG', true);
   define('WP_DEBUG_DISPLAY', false);
   

   错误会写到wp-content/debug.log。
2. 用Postman或curl测试： 别在代码里调，先用curl：

   curl -X POST https://yourdomain.com/wp-json/wp/v2/posts \-H "Authorization: Basic base64(user:app_pass)" \-H "Content-Type: application/json" \-d '{"title":"Test","content":"<p>Hi</p>","status":"draft"}'
   

   看返回的JSON结构，错误信息都在code和message字段里。
3. 拦截请求： 在PHP里加日志：

   add_action('rest_api_request_after', function($response) {error_log(print_r($response->as_array(), true));
   });
   

别猜，看日志。90%的报错原因都在日志里写着呢。

7. 安全注意事项有哪些

问题现象 API被恶意刷接口，服务器被打挂。

对策步骤

1. 限流： 用rest_pre_dispatch钩子限制每个IP的调用频率。

   add_filter('rest_pre_dispatch', function($response, $route, $request) {$ip = $_SERVER['REMOTE_ADDR'];$key = 'api_limit_' . $ip;$count = get_transient($key);if ($count > 10) {return new WP_Error('rate_limit', 'Too many requests', ['status' => 429]);}set_transient($key, $count + 1, 60);return $response;
   }, 10, 3);
   

2. HTTPS必须： 应用密码走HTTP会被截获。强制HTTPS。
3. 不要暴露应用密码： 应用密码生成后只显示一次，存好。别写在公开代码里。
4. IP白名单： 如果是服务器间调用，在Nginx层限制IP。

   location /wp-json/ {allow 192.168.1.100;deny all;
   }
   

安全不是事后补救，是事前设计。别等被黑了才想起加白名单。

8. 哪些插件能辅助API开发

问题现象 想偷懒，找现成插件。

对策建议

• WP REST API Controller：提供基础路由扩展。
• Post Types Controller：自定义内容类型的API支持。
• OAuth1.0a Plugin：如果你不用应用密码，用OAuth更规范。
• JWT Authentication for WP REST API：如果你前端是React/Vue，用JWT更顺。

但说实话，大多数企业站用应用密码+Basic Auth就够了。别过度设计。插件多了，冲突就多，调试更麻烦。

我见过有人装了5个REST API插件，结果路由冲突，根本不知道哪个插件在处理请求。保持简单，才是王道。

写在最后

WordPress API发贴这事儿，技术上不难，难在细心。401是认证问题，400是参数问题，403是权限问题，404是路由问题。对号入座，基本能解决90%的报错。

别再去问哪家建站公司好，你自己能搞定API发贴，就比90%的外包公司强。省下的钱，够你买好几年的服务器。

建站花了多少钱？留言说说真实价格。 特别是那些被坑过的，或者自己搞定的，报个数，让大家看看行情。是几千块外包，还是自己折腾花了时间？