<?php
/**
* Plugin Name: Block WP User Enumeration
* Plugin URI: https://www.xiadmin.com/40423
* Description: 阻止通过 REST API /wp/v2/users 端点枚举 WordPress 用户信息，防止未授权访问暴露用户名和 ID。
* Version: 1.0.0
* Author: xiadmin
* License: GPL-2.0-or-later
* Text Domain: block-wp-user-enum
*/

// 防止直接访问插件文件
defined( 'ABSPATH' ) || exit;

// 仅在REST请求时执行过滤，提升精准性
add_filter( 'rest_endpoints', 'bwue_restrict_users_endpoint' );

/**
* 对未授权用户隐藏 /wp/v2/users 及其子路由端点。
* 仅允许拥有 list_users 权限的用户（编辑及以上）访问。
*
* @param array $endpoints 已注册的 REST 端点列表。
* @return array 过滤后的端点列表。
*/
function bwue_restrict_users_endpoint( array $endpoints ): array {
// 仅在REST请求场景下处理，避免非REST请求时不必要的操作
if ( ! defined( 'REST_REQUEST' ) || ! REST_REQUEST ) {
return $endpoints;
}

// 验证用户权限：仅登录且拥有list_users权限的用户可访问
$can_list_users = is_user_logged_in() && current_user_can( 'list_users' );
if ( $can_list_users ) {
return $endpoints;
}

// 1. 移除用户列表主路由
if ( isset( $endpoints['/wp/v2/users'] ) ) {
unset( $endpoints['/wp/v2/users'] );
}

// 2. 移除单用户路由（兼容WP不同版本的正则写法）
foreach ( array_keys( $endpoints ) as $route ) {
// 匹配 /wp/v2/users/ 后跟任意ID格式的路由（兼容\d+或.+正则）
if ( preg_match( '/^\/wp\/v2\/users\/\(\?P<id>.+\)$/', $route ) ) {
unset( $endpoints[ $route ] );
break; // 匹配到后立即退出循环，提升效率
}
}

return $endpoints;
}