WordPress 允许开发者自定义登录验证过程。在 WordPress 核心中，有几种方法可以实现自定义登录验证：

1. 使用 `wp_authenticate_user` 过滤器

这是最常用的方法之一，它允许你在 WordPress 验证用户凭据后但在完成登录过程前修改或拒绝登录尝试：

add_filter('wp_authenticate_user', 'my_custom_authenticate', 10, 2);  
function my_custom_authenticate($user, $password) {  
    // 如果 $user 已经是 WP_Error 对象，表示验证已经失败  
    if (is_wp_error($user)) {  
        return $user;  
    }  

    // 在这里添加自定义验证逻辑  
    if (/* 自定义条件 */) {  
        return new WP_Error('authentication_failed', __('自定义错误消息'));  
    }  

    // 验证通过，返回用户对象  
    return $user;  
}

2. 使用 `authenticate` 过滤器

这个过滤器更早地介入认证过程，允许你完全替换默认的认证机制：

add_filter('authenticate', 'my_custom_authentication', 30, 3);  
function my_custom_authentication($user, $username, $password) {  
    // 移除默认的身份验证过滤器  
    remove_filter('authenticate', 'wp_authenticate_username_password', 20);  

    // 实现自己的身份验证逻辑  
    // 返回 WP_User 对象表示成功，返回 WP_Error 表示失败  

    if (/* 验证成功 */) {  
        $user = get_user_by('login', $username);  
        return $user;  
    } else {  
        return new WP_Error('invalid_login', __('无效的用户名或密码'));  
    }  
}

3. 使用 `wp_authenticate_{$action}` 钩子

WordPress 提供了特定于不同认证方法的钩子，例如 wp_authenticate_username_password 和 wp_authenticate_email_password。你可以替换这些特定的认证方法： class-wp-user.php:211-215

4. 使用 `auth_cookie_*` 钩子系列

如果你需要自定义认证 cookie 的处理方式，可以使用这些钩子：

auth_cookie_valid
auth_cookie_malformed
auth_cookie_bad_username
auth_cookie_bad_hash
auth_cookie_expired

5. 使用 REST API 认证过滤器

如果你的应用使用 REST API，可以使用 rest_authentication_errors 过滤器来自定义 API 认证： class-wp-rest-server.php:172-197

6. 完全替换登录系统

对于更复杂的需求，你可以完全替换 WordPress 的登录系统，例如使用 OAuth、LDAP 或其他身份提供商。这通常需要：

拦截登录页面请求
实现自己的登录表单和处理逻辑
在验证成功后使用 wp_set_auth_cookie() 和 wp_set_current_user() 设置用户会话

实现示例

以下是一个使用外部服务进行验证的简单示例：

add_filter('authenticate', 'custom_external_authentication', 10, 3);  
function custom_external_authentication($user, $username, $password) {  
    // 如果已经通过其他过滤器验证，则返回  
    if (is_a($user, 'WP_User')) {  
        return $user;  
    }  

    // 调用外部 API 验证用户  
    $response = wp_remote_post('https://external-auth-service.com/verify', [  
        'body' => [  
            'username' => $username,  
            'password' => $password  
        ]  
    ]);  

    if (is_wp_error($response)) {  
        return new WP_Error('authentication_failed', __('无法连接到验证服务'));  
    }  

    $body = json_decode(wp_remote_retrieve_body($response), true);  

    if (!empty($body['success'])) {  
        // 验证成功，检查用户是否存在于 WordPress 中  
        $wp_user = get_user_by('login', $username);  

        if (!$wp_user) {  
            // 可选：自动创建用户  
            $user_id = wp_create_user($username, wp_generate_password(), $body['email']);  
            if (is_wp_error($user_id)) {  
                return $user_id;  
            }  
            $wp_user = get_user_by('ID', $user_id);  
        }  

        return $wp_user;  
    }  

    // 验证失败  
    return new WP_Error('invalid_credentials', __('用户名或密码无效'));  
}

安全注意事项

实现自定义登录验证时，请确保：

始终使用 wp_nonce_field() 防止 CSRF 攻击 functions.php:1897-1910
对用户输入进行适当的验证和清理
避免在错误消息中泄露敏感信息
考虑实现登录尝试限制以防止暴力攻击
使用 HTTPS 保护登录凭据传输

Notes

本回答基于 WordPress 核心代码，重点关注如何自定义 WordPress 的登录验证流程。WordPress 的认证系统主要在 wp-includes/user.php 和 wp-includes/pluggable.php 文件中实现，但在提供的代码片段中没有完整显示这些文件。我们可以看到 class-wp-user.php 中的部分代码，以及 REST API 的认证相关代码。

Wiki pages you might want to explore:

WordPress Core Overview (WordPress/WordPress)

1. 使用 wp_authenticate_user 过滤器

2. 使用 authenticate 过滤器

3. 使用 wp_authenticate_{$action} 钩子

4. 使用 auth_cookie_* 钩子系列