{"id":13609,"date":"2026-10-20T18:25:00","date_gmt":"2026-10-20T16:25:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=13609"},"modified":"2026-10-09T23:19:54","modified_gmt":"2026-10-09T21:19:54","slug":"203-trasy-co-api-rest-wordpressa-wydaje-bez-logowania","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/pl\/wordpress-plugins-tricks-pl\/tutorials-pl-wordpress-plugins-tricks-pl\/203-trasy-co-api-rest-wordpressa-wydaje-bez-logowania\/","title":{"rendered":"203 trasy: co API REST WordPressa wydaje bez logowania"},"content":{"rendered":"

Witryna na WordPressie udost\u0119pnia zar\u00f3wno strony wy\u015bwietlane przez przegl\u0105dark\u0119, jak i interfejs zwracaj\u0105cy same dane. Ten interfejs jest w\u0142\u0105czony od pierwszej minuty, cho\u0107 osoby prowadz\u0105ce witryn\u0119 rzadko go sprawdzaj\u0105.<\/p>\n

Le\u017cy pod \/wp-json\/<\/code>, a jego pierwsza odpowied\u017a to lista wszystkiego, co potrafi.<\/p>\n

\n\"203
203 trasy w dziewi\u0119ciu przestrzeniach nazw, policzone z w\u0142asnego spisu interfejsu.<\/figcaption><\/figure>\n

Po co jest ten interfejs<\/h2>\n

API REST istnieje po to, by ze stron\u0105 mog\u0142o pracowa\u0107 co\u015b innego ni\u017c przegl\u0105darka: edytor blok\u00f3w w panelu, aplikacja w telefonie, inna strona przejmuj\u0105ca artyku\u0142y, skrypt publikuj\u0105cy wed\u0142ug planu.<\/p>\n

Nale\u017cy do samego WordPressa, nie jest wtyczk\u0105, i odpowiada domy\u015blnie od 2016 roku. Niczego nie trzeba w\u0142\u0105cza\u0107.<\/p>\n

Wniosek wart zapami\u0119tania: co opublikowane na stronie, jest opublikowane tak\u017ce tutaj, w postaci przeznaczonej dla maszyn. Nie kopia i nie streszczenie – ta sama tre\u015b\u0107, znacznie \u0142atwiejsza do zebrania.<\/p>\n

203 trasy na zwyczajnej stronie<\/h2>\n

Spis pod \/wp-json\/<\/code> odpowiedzia\u0142 na mierzonej tutaj stronie 203 trasami w dziewi\u0119ciu przestrzeniach nazw.<\/p>\n

110 z nich nale\u017cy do wp\/v2<\/code>, czyli rdzenia: wpisy, strony, media, komentarze, kategorie, tagi, typy blok\u00f3w i reszta standardowego wyposa\u017cenia.<\/p>\n

59 nale\u017cy do jednej wtyczki. To ponad jedna czwarta ca\u0142ego interfejsu z jednego rozszerzenia, a niezwyk\u0142e to nie jest – du\u017ca wtyczka ch\u0119tnie rejestruje osobn\u0105 tras\u0119 dla ka\u017cdego swojego widoku.<\/p>\n

Pozosta\u0142e 34 rozk\u0142adaj\u0105 si\u0119 na siedem przestrzeni nazw, w wi\u0119kszo\u015bci po trzy do o\u015bmiu tras.<\/p>\n

Lista przestrzeni nazw jest list\u0105 wtyczek<\/h2>\n

Spis nie tylko liczy trasy. Nazywa przestrzenie nazw, a przestrze\u0144 nazw wybiera ten, kto wtyczk\u0119 napisa\u0142.<\/p>\n

W odpowiedzi na jedno zapytanie bez logowania stoi zatem otwartym tekstem, jakie wtyczki s\u0105 zainstalowane: wtyczka SEO, wtyczka wieloj\u0119zyczna, wtyczka do blok\u00f3w kodu i ka\u017cdy w\u0142asny kod, kt\u00f3ry strona rejestruje dla siebie.<\/p>\n

Wyciekiem w sensie usterki to nie jest. Tak musi dzia\u0142a\u0107 interfejs, bo program musi wiedzie\u0107, co jest dost\u0119pne. Znaczy to jednak, \u017ce pytanie \u201ejakie wtyczki dzia\u0142aj\u0105 na tej stronie” ma odpowied\u017a w jednym zapytaniu – a tej odpowiedzi u\u017cywa si\u0119 regularnie, by sprawdzi\u0107, kt\u00f3re wersje maj\u0105 znane s\u0142abo\u015bci.<\/p>\n

\n\"D\u0142uga
\n<\/figure>\n

Co odpowiada bez logowania<\/h2>\n

Czytanie jest w du\u017cej mierze otwarte, co wynika z tego, \u017ce tre\u015bci i tak s\u0105 publiczne.<\/p>\n

Wpisy, strony, komentarze, kategorie, tagi, typy wpis\u00f3w, media oraz trasy wtyczki SEO i wieloj\u0119zycznej odpowiedzia\u0142y statusem 200 i prawdziw\u0105 tre\u015bci\u0105.<\/p>\n

Jeden szczeg\u00f3\u0142 zas\u0142uguje na chwil\u0119 uwagi. Zapytanie o pojedynczy wpis zwr\u00f3ci\u0142o 23 455 bajt\u00f3w: ca\u0142y, gotowo z\u0142o\u017cony artyku\u0142, nie fragment. Wszystko opublikowane le\u017cy gotowe po jednym zapytaniu na wpis, czysto rozdzielone na pola, bez tej otoczki, kt\u00f3r\u0105 d\u017awiga strona.<\/p>\n

Co \u017c\u0105da logowania i kt\u00f3ra odmowa jest lepsza<\/h2>\n

Wszystko, co opisuje instalacj\u0119 zamiast tre\u015bci, za\u017c\u0105da\u0142o logowania: ustawienia, lista wtyczek, lista motyw\u00f3w, typy blok\u00f3w, diagnostyka systemu. Wszystkie odpowiedzia\u0142y 401.<\/p>\n

Jedna trasa odpowiedzia\u0142a inaczej i w\u0142a\u015bnie ona nadaje si\u0119 do na\u015bladowania: wp\/v2\/users<\/code> zwr\u00f3ci\u0142a 404.<\/p>\n

R\u00f3\u017cnica nie jest kosmetyczna. 401 albo 403 potwierdza, \u017ce trasa jest i jest pilnowana – m\u00f3wi wi\u0119c, \u017ce kryje si\u0119 za ni\u0105 co\u015b prawdziwego, dla czego op\u0142aca si\u0119 druga pr\u00f3ba. 404 nie m\u00f3wi nic. Tras\u0119 usuni\u0119to zamiast chroni\u0107, a z zewn\u0105trz nie da si\u0119 tego odr\u00f3\u017cni\u0107 od WordPressa, kt\u00f3ry nigdy jej nie oferowa\u0142.<\/p>\n

Nazwiska autor\u00f3w s\u0105 zwyk\u0142ym powodem tej odmowy. Stanowi\u0105 po\u0142ow\u0119 logowania, a ich publiczna lista jest publiczn\u0105 list\u0105 wa\u017cnych nazw u\u017cytkownik\u00f3w.<\/p>\n

Co warto sprawdzi\u0107<\/h2>\n

Trzy pytania odpowiadaj\u0105 sobie same, po jednym zapytaniu ka\u017cde.<\/p>\n

Co wymienia \/wp-json\/<\/code>? Kt\u00f3re przestrzenie nazw si\u0119 pojawiaj\u0105 i czy kt\u00f3ra\u015b nale\u017cy do czego\u015b, co nie jest ju\u017c u\u017cywane? Wy\u0142\u0105czona wtyczka nie rejestruje nic; aktywna, ale zapomniana rejestruje wszystko, co ma.<\/p>\n

Co odpowiada \/wp-json\/wp\/v2\/users<\/code>? 200 wydaje nazwiska autor\u00f3w. 401 potwierdza, \u017ce istniej\u0105. 404 nie m\u00f3wi nic.<\/p>\n

I co wraca dla pojedynczego wpisu? Je\u015bli odpowiedzi\u0105 jest ca\u0142y artyku\u0142, interfejs dzia\u0142a dok\u0142adnie tak, jak zaprojektowano – warto jednak wiedzie\u0107, \u017ce tre\u015b\u0107 jest dost\u0119pna r\u00f3wnie\u017c w tej postaci, nie tylko jako strona.<\/p>\n

Te same dwa pytania, ile tras wymienia \/wp-json\/<\/code> i co odpowiada wp\/v2\/users<\/code>, zosta\u0142y zadane tak\u017ce dwunastu instalacjom; wyniki, od 203 do 1107 tras, zawiera artyku\u0142 1107 tras bez logowania: co dziesi\u0119\u0107 instalacji WordPressa wydaje pod \/wp-json\/<\/a>.<\/p>\n

\n

Pytania i odpowiedzi<\/h2>\n

Czy wystarczy usun\u0105\u0107 wp\/v2\/users, \u017ceby nazwy u\u017cytkownik\u00f3w przesta\u0142y wycieka\u0107?<\/h3>\n

Nie, ta trasa jest tylko najwygodniejsz\u0105 list\u0105. W ustawieniach domy\u015blnych to samo zdradzaj\u0105 jeszcze dwa miejsca:<\/p>\n