Как изменить URL AJAX-запросов в WordPress без плагинов

AJAX-запросы в WordPress обычно обрабатываются через URL admin-ajax.php, который находится в папке wp-admin. По умолчанию этот URL доступен всем, что может создавать потенциальные точки атаки и увеличивать нагрузку на сервер. Изменение URL AJAX-запросов позволяет повысить безопасность сайта и скрыть стандартные пути от посторонних глаз.

Почему стоит менять URL AJAX-запросов в WordPress

Стандартный URL AJAX-запросов /wp-admin/admin-ajax.php широко известен и часто используется сканерами и ботами для поиска уязвимостей. Если злоумышленник знает этот путь, он может инициировать множество запросов, создавая нагрузку на сервер или пытаясь обойти защиту.

Изменение URL на кастомный снизит вероятность автоматических атак, а также поможет в интеграции с фронтенд-кодом, если требуется нестандартное поведение.

Кроме безопасности, кастомизация URL AJAX-запросов помогает избежать проблем с кэшированием, если сайт использует сложные механизмы CDN или прокси.

Как работает AJAX в WordPress: разбор стандартного механизма

По умолчанию WordPress обрабатывает AJAX-запросы через файл admin-ajax.php. Для фронтенда и бэкенда используются разные хуки, но URL один и тот же.

• Фронтенд AJAX: действия регистрируются через хук wp_ajax_nopriv_{action}
• Бэкенд AJAX: хук wp_ajax_{action}

JavaScript на стороне клиента обычно получает URL через глобальную переменную ajaxurl, которая указывает на admin-ajax.php.

Чтобы изменить URL, нужно перехватить запросы и направить их на кастомный адрес, а на сервере обработать этот адрес так же, как и admin-ajax.php.

Пошаговое руководство по изменению URL AJAX-запросов в WordPress

1. Создаем кастомный endpoint в корне сайта

Для начала добавим rewrite-правила, чтобы WordPress понимал новый URL. Например, пусть это будет /ajax-handler/.

add_action('init', 'wphide_add_ajax_rewrite_rule');
function wphide_add_ajax_rewrite_rule() {
    add_rewrite_rule('^ajax-handler/?$', 'index.php?ajax_handler=1', 'top');
}

Затем регистрируем query_var, чтобы WordPress распознавал наш параметр:

add_filter('query_vars', 'wphide_register_ajax_query_var');
function wphide_register_ajax_query_var($vars) {
    $vars[] = 'ajax_handler';
    return $vars;
}

2. Обработка запроса через hook parse_request

Добавим обработчик, который перехватывает запрос на /ajax-handler/ и запускает AJAX-логику WordPress:

add_action('parse_request', 'wphide_handle_custom_ajax_url');
function wphide_handle_custom_ajax_url($wp) {
    if (isset($wp->query_vars['ajax_handler'])) {
        // Инициализируем WordPress AJAX API
        define('DOING_AJAX', true);
        // Подключаем стандартный обработчик
        require_once(ABSPATH . 'wp-admin/admin-ajax.php');
        exit;
    }
}

3. Обновляем JavaScript, чтобы использовать новый URL

Вместо стандартной переменной ajaxurl нужно передать новый URL в скрипты. Например, в functions.php:

add_action('wp_enqueue_scripts', 'wphide_localize_script');
function wphide_localize_script() {
    wp_enqueue_script('my-ajax-script', get_template_directory_uri() . '/js/my-ajax.js', array('jquery'), null, true);
    wp_localize_script('my-ajax-script', 'wphide_ajax_object', array(
        'ajax_url' => home_url('/ajax-handler/')
    ));
}

В JavaScript используйте wphide_ajax_object.ajax_url для отправки запросов.

Пример использования измененного URL AJAX-запросов в JavaScript

Пример простого AJAX-запроса с использованием jQuery и нового URL:

jQuery(document).ready(function($) {
    $('#my-button').on('click', function() {
        $.post(wphide_ajax_object.ajax_url, {
            action: 'wphide_test_action',
            data: 'Пример данных'
        }, function(response) {
            alert('Ответ сервера: ' + response);
        });
    });
});

Регистрация и обработка AJAX-действия в PHP

Добавим обработчик для примера wphide_test_action:

add_action('wp_ajax_wphide_test_action', 'wphide_test_action_callback');
add_action('wp_ajax_nopriv_wphide_test_action', 'wphide_test_action_callback');

function wphide_test_action_callback() {
    // Безопасно обрабатываем входящие данные
    $data = isset($_POST['data']) ? sanitize_text_field($_POST['data']) : '';
    echo 'Получено: ' . $data;
    wp_die(); // Завершаем AJAX запрос
}

Дополнительные советы по безопасности и оптимизации

Изменение URL AJAX-запросов — это только часть защиты. Рекомендуется дополнительно:

• Ограничить доступ по IP, если это возможно.
• Использовать nonce-проверки в AJAX для подтверждения легитимности запросов.
• Кэшировать ответы на AJAX, если данные не меняются часто.
• Использовать плагины, например, Clearfy Pro для комплексного улучшения безопасности и оптимизации.

Итоги и проверка работы

После добавления кода не забудьте обновить правила перезаписи URL, выполнив в админке WordPress Настройки –> Постоянные ссылки –> Сохранить изменения.

Тестируйте отправку AJAX-запросов на новый URL. Если все сделано правильно, ваши запросы будут работать через /ajax-handler/, а стандартный admin-ajax.php можно ограничить или скрыть.

Такой подход помогает снизить нагрузку и повысить безопасность вашего сайта на WordPress без использования сторонних плагинов.