1

我在网上找到了这段代码片段，可以插入到我的function.php文件中，以自定义错误消息，使其更安全：

// custom the login error message
function customize_login_errors(){
    return 'The login credentials are incorrect.';
}
add_filter( 'login_errors', 'customize_login_errors' );

虽然，我发现了一个漏洞。

如果用户名不正确，则用户名输入字段与密码一起被清除。完美，正是我想要的。但是，如果我正确输入了用户名，则在输入无效密码后该字段的输入仍然存在。虽然这比默认错误消息更安全，但它仍然会让不受欢迎的客人知道他们是否猜到了有效的用户名。

clear both the username/email and password fields在输入无效凭据后，如何更进一步？

4

1 回答 1

1

当登录失败时，我会将以下 javascript 片段注入登录页面！

把这个 javascript 放到一个名为的文件中，比如说，custom_error_login.js

jQuery(document).ready(async function ($) {

  await new Promise(r => setTimeout(r, 200));

  $("input#user_pass").val("").blur();

  $("input#user_login").val("").focus();

});

然后将以下代码段放入您functions.php的活动子/主题中，并在登录失败后使用以下钩子将其注入登录页面！！！

add_filter('login_errors', 'my_custom_login_failure');

function my_custom_login_failure()
{
    global $errors;

    $error_codes = $errors->get_error_codes();

    // Invalid username.
    if (in_array('invalid_username', $error_codes)) {
        $error = '<strong>Invalid credentials!!!</strong>';
    }

    // Incorrect password.
    if (in_array('incorrect_password', $error_codes)) {
        $error = '<strong>Invalid credentials!!!</strong>';
    }

    remove_action('login_footer', 'wp_shake_js', 12); // removing the shaking effect of the form, snippet could work without this line too!!!  

    wp_enqueue_script('jquery');

    wp_enqueue_script('my_custom_login_script', get_theme_file_uri('path/to/js_folder/custom_error_login.js'), 'JQuery', "1.0", TRUE);

    
    return $error;
}
于 2021-02-07T17:56:06.337 回答