获取用户名和密码是一个可怕的想法，我希望没有任何用户会真正同意，但除此之外，您从JS获取用户名和密码的想法将因CORS而失败，这意味着您必须在AJAX中对服务器进行访问，并让服务器尝试登录，这很可能会立即将其标记为暴力攻击者，所有主要的安全玩家都会自动阻止这些请求。

您需要重新设计软件，使其不需要用户名和密码，可能需要使用类似oauth2的东西。如果oauth2不适用于您的情况。。。。真倒霉。

首先：以下代码可能会失败的原因有很多。不可能有一个到处都能运行的系统。这是由于各种安全插件引入了许多不同的概念。

话虽如此，该代码适用于普通安装以及启用了Wordfence（没有超严格设置）的安装。

<小时>wp_remote_post() 是此函数中的关键函数。它允许您向远程主机发送POST请求—如果您想检查登录，这正是您想要的。

function WPSE_test_remote_login($url, $username, $password) {
    // remove trailing slash if it exists
    $base = rtrim($url, \'/\');

    // login url
    $url = $base . \'/wp-login.php\';

    $args = [
        // the inputs that get POSTed
        \'body\' => [
            \'log\' => $username,
            \'pwd\' => $password,
            \'wp-submit\' => \'Submit\',
            \'redirect_to\' => $base . \'/wp-admin/\',
            \'testcookie\' => 1,
        ],
    ];

    // make the actual request
    $response = wp_remote_post($url, $args);

    // only one cookie? then failed login
    if ( ! is_array($response[\'headers\'][\'set-cookie\'])) {
        return false;
    }

    // if a cookie that contains wordpress_logged_in is set
    // the login was successful
    foreach ($response[\'headers\'][\'set-cookie\'] as $cookie) {
        if (stripos($cookie, \'wordpress_logged_in\') !== FALSE) {
            return true;
        }
    }

    return false;
}

然后我检查了$result 并比较了正确密码和错误密码的区别。对于failed login, $response[\'headers\'][\'set-cookie\'] 看起来像这样

string(45) "wordpress_test_cookie=WP+Cookie+check; path=/"

array(3) {
  [0]=>
  string(128) "__cfduid=df131...; expires=Sun, 21-Apr-19 12:35:00 GMT; path=/; domain=.example.com; HttpOnly"
  [1]=>
  string(100) "wfvt_144...=5ad...; expires=Sat, 21-Apr-2018 13:05:00 GMT; Max-Age=1800; path=/; HttpOnly"
  [2]=>
  string(74) "wordpress_test_cookie=WP+Cookie+check; path=/; domain=.example.com; secure"
}

array(4) {
  [0]=>
  string(45) "wordpress_test_cookie=WP+Cookie+check; path=/"
  [1]=>
  string(209) "wordpress_852...=test%7C15...; path=/wp-content/plugins; HttpOnly"
  [2]=>
  string(199) "wordpress_852...=test%7C15...; path=/wp-admin; HttpOnly"
  [3]=>
  string(201) "wordpress_logged_in_852...=test%7C15...; path=/; HttpOnly"
}

如果没有任何自定义API路由，就无法实现这一点。但当然，如果您可以在该站点上编辑主题或安装插件，您可以注册这样的路由（或者改用AJAX）。

所以，让我们用REST API来实现这一点。。。

function my_register_api_hooks() {
    register_rest_route(
        \'my_namespace\', \'/check-login/\',
        array(
            \'methods\'  => \'POST\',
            \'callback\' => \'my_api_check_login_callback\',
        )
    );
}
add_action( \'rest_api_init\', \'my_register_api_hooks\' );
    
function my_api_check_login_callback($request){
    $user = wp_authenticate_username_password(null, $request[\'username\'], $request[\'password\']);

    if ( is_wp_error($user) ) {
        return array(\'error\' => $user, \'user\' => false);
    }

    return array(\'error\' => false, \'user\' => $user->ID);
}

http://example.com/wp-json/my_namespace/check-login/

{
  "error": false,
  "user": 1
}

{
  "error": "...", <- this will contain error messages
  "user": false
}

若您对要检查的站点并没有控制权，该怎么办

一种方法是使用此库：WordPress XML-RPC PHP Client. 它几乎可以一直为您服务，或者您可以使用nativeWP_HTTP_IXR_Client 班

您可以使用wp.getUsersBlogs 用于检查给定凭据是否正确的方法。