wp_create_nonce を複数ボタンに適用させる方法

###質問内容
WordPressで「この記事をあとで読む」ボタンを作るにあたって、nonceの設定に挑戦中です。

疑問に思ったのは、functions.phpに下記を書いても「ページに１つのnonce」が設定されるだけで、「ボタンごとのnonce」が設定されない点です。

php
1function my_enqueue_scripts() {
2  $handle = 'my_script';  	
3  $jsFile = 'path/to/myscript.js';
4  wp_register_script($handle, $jsFile, ['jquery']);
5  $action= 'my_ajax_action';
6  wp_localize_script($handle, 'MY_AJAX', [
7    'api'    => admin_url( 'admin-ajax.php' ),
8    'action' => $action,
9    'nonce'  => wp_create_nonce( $action ),
10  ]);
11  wp_enqueue_script($handle);	
12}
13add_action( 'wp_enqueue_scripts', 'my_enqueue_scripts' );

上記↑によって次のような内容↓が出力されますが、これは「ページに１つのnonce」ですよね。

html
1<![CDATA[
2var MY_AJAX = {"api":"http://example.com/wp-admin/admin-ajax.php","action":"my_ajax_action","nonce":"XXXXXXXXXX"};
3]]>

しかしセキュリティ上（CSRF対策上?）、nonceはボタンごとに設定すべきだと伺ったのですが、ならばどのような書き方になるのでしょうか？

簡単な例で一連のコードを教えて頂けましたら幸いです。

###特に不明な点
nonceはボタンごとに設定するというと、たとえばテンプレートにこのように↓書くのだと思います。

php
1<button type="button" nonce="<?php wp_create_nonce( $userID ) ?>">この記事をあとで読む</button>

しかしこう書いたとして、ここで生成されたnonceにはアクション名などがついてませんよね。では、nonceの値が正しいかどうかをチェックするためにはどうしたらいいのでしょうか？

退会済みユーザー

2019/12/17 03:22

> セキュリティ上（CSRF対策上?）、nonceはボタンごとに設定すべきだと伺ったのですが、ならばどのような書き方になるのでしょうか？これ、ソースはどこですか？

行動規範の内容に同意します

回答1件

ajaxのactionとwp_create_nonce()の引数$actionを混同されています。

Trac/wp_create_nonce()

それぞれ違うnonce値を設定するには、wp_create_nonce()の引数の$actionをユニークに設定するのが一番簡単です。

ただ、wp_crete_nonce()自体はプラガブル関数ですので、手動で$actionを管理するのが大変
ということであれば独自に上書きすることも可能です。

あとnonceは要素に埋め込むのではありません。
wp_create_nonce()でnonce値が入ったhidden要素などが生成されます。
（HTMLソースを確認して下さい。）

php
1<button type="button" nonce="<?php wp_create_nonce( $userID ) ?>">この記事をあとで読む</button>
2↓
3<?php wp_create_nonce($action); ?>
4<button type="button">この記事をあとで読む</button>