Архитектура и безопасность плагина «Ozon Доставка для WooCommerce»

Ozon не отдаёт пункты по городу и не даёт готовой карты, поэтому справочник хранится в базе сайта. Таблица создаётся при активации через dbDelta с кодировкой базы WordPress:

CREATE TABLE {prefix}ozwc_points (
  point_id bigint(20) unsigned NOT NULL, -- номер пункта Ozon, 16 цифр
  type varchar(16), name varchar(191), point_number varchar(64),
  address varchar(500), city varchar(191),
  lat decimal(9,6), lon decimal(9,6),
  is_bulky tinyint(1), storage_days smallint(5) unsigned, fitting_rooms smallint(5) unsigned,
  schedule varchar(255), -- недельный график одной строкой
  max_weight_g int(10) unsigned, max_length_mm int(10) unsigned,
  max_width_mm int(10) unsigned, max_height_mm int(10) unsigned,
  max_price decimal(12,2), min_weight_g int(10) unsigned, min_price decimal(12,2),
  sync_run int(10) unsigned, -- номер прохода синхронизации
  info_at int(10) unsigned, -- когда обновлялись подробности
  PRIMARY KEY (point_id),
  KEY geo (lat, lon),
  KEY city (city),
  KEY sync_run (sync_run)
);

• geo (lat, lon) — поиск ближайших пунктов и пунктов в области карты.
• city — подсказка для города покупателя до выбора пункта: сколько пунктов и примерная цена.
• sync_run — удаление пунктов, которых больше нет в Ozon, после завершённого прохода.

В строке — только то, что нужно окну выбора: адрес, город, координаты, срок хранения, примерочные, график и пределы веса, размеров и стоимости. Исходный ответ Ozon (около 2 КБ на пункт) не хранится, график Ozon (даты примерно на три недели вперёд) сжимается в недельную строку. В таблицу попадают только активные пункты, куда возит ваш метод доставки. Имя таблицы можно сменить фильтром ozwc_points_table — он нужен только для тестов, чтобы тест не тронул рабочий справочник.

Первая загрузка занимает 5–15 минут: пока открыта вкладка «Пункты выдачи», загрузка идёт быстрее, если закрыть — продолжится в фоне.

Как устроен кэш и защита:

• Кэш расчёта — в сессии WooCommerce покупателя, а не в кэше объектов WordPress. Ключ — пункт, вес, размеры и объявленная стоимость посылки, телефон и метод доставки. Запись живёт 20 минут, в сессии хранится не больше 20 записей.
• Таймауты на оформлении — 4 секунды и один повтор. Любая ошибка Ozon превращается в понятное сообщение покупателю или скрытый способ доставки — оформление заказа не падает.
• Токен xapi.ozon.ru/oauth/token хранится в базе и обновляется за 5 минут до истечения; при ответе 401 плагин один раз получает новый токен и повторяет запрос.
• Защита Ozon от DDoS отвечает перенаправлением 302 или 307 с cookie: плагин повторяет тот же POST по адресу из Location, не больше 3 перенаправлений, и хранит cookie по хосту.
• Лимит номеров: не больше 5 разных номеров телефона на сессию и 15 на IP-адрес в час — сайт нельзя использовать для массовой проверки чужих номеров в Ozon. Счётчик по IP хранится во временных данных WordPress (transient): если на сайте подключён внешний кэш объектов, например Redis, WordPress хранит их там.
• Сервер лицензий на оформлении заказа не вызывается: плагин читает сохранённый статус из небольшой опции с автозагрузкой.

Все задачи — в группе ozon-delivery-woo планировщика Action Scheduler, который входит в WooCommerce и работает поверх WP-Cron. Если сайт посещают редко, настройте системный cron.

Деактивация плагина останавливает фоновые задачи; таблица, настройки и данные заказов остаются.

Сервер лицензий — https://api.ev-gerasimov.ru. Он нужен для пробного периода, проверки лицензии и обновлений. Таймаут запроса — 8 секунд, в каждый запрос плагин добавляет одноразовый nonce.

Имена, телефоны, адреса, e-mail, суммы и состав заказов покупателей на сервер не передаются; IP-адрес сайта сервер видит при запросе. Тот же перечень — в п. 12.5 оферты и на вкладке «Лицензия» в плагине.

• Все JSON-ответы сервера лицензий, включая ошибки, подписаны Ed25519. Поле sig — подпись канонического JSON без самого sig: ключи объектов отсортированы на всех уровнях, списки — в исходном порядке, без пробелов, JSON_UNESCAPED_SLASHES | JSON_UNESCAPED_UNICODE.
• Плагин проверяет подпись функцией sodium_crypto_sign_verify_detached, а если расширения sodium нет — через sodium_compat из WordPress.
• Ответ принимается, только если подпись верна и в нём те же номер установки, домен и nonce, что в запросе: старый ответ подставить нельзя.
• Адрес сервера и открытый ключ зашиты в сборку плагина и из сети не загружаются. Открытый ключ (base64, 32 байта) — DQk2vmKAOr3sJXAlaU6uUbmFOxO78EiuAO5w4CpoAIA=; его же отдаёт сервер по адресу https://api.ev-gerasimov.ru/api/v1/pubkey.

• Оформление заказов от сервера не зависит: статус лицензии хранится на сайте.
• Годовая лицензия работает по последнему подписанному статусу до 14 дней, бессрочная — без ограничения срока.
• Пробные заказы, пока сервер молчит, считаются на сайте, а отчёты о них досылаются, когда связь вернётся.
• Если проверки не было больше 3 дней, в админке появляется предупреждение о связи.
• Через 14 дней без связи годовая лицензия считается непроверенной: работает остаток пробного периода, если он есть, иначе способ Ozon скрывается на оформлении. Уже созданные отправления доводятся до конца.

• Ключи Ozon. Настройки плагина — в опции без автозагрузки, Client Secret — в отдельной опции без автозагрузки, токен доступа — тоже. Ключей Ozon нет в HTML, JavaScript и журналах: все запросы к Ozon идут с сервера сайта.
• Ключи карт. Публичные ключи Яндекс.Карт и 2ГИС попадают в код страницы оформления, только если выбранная карта может понадобиться. Ограничьте их адресом сайта в кабинетах этих сервисов. Для DaData нужен только публичный ключ.
• Журнал — WooCommerce → Статус → Журналы, источник ozon-delivery-woo. Перед записью маскируются заголовок Bearer …, поля client_secret, access_token, refresh_token, любые поля, в названии которых есть secret, token, authorization, password или cookie, и российские телефоны в любом формате — от номера остаются код оператора и последние две цифры. Отладочные сообщения пишутся, только если включено подробное логирование. Сроком хранения журналов управляет WooCommerce.
• Данные в Ozon — ФИО и телефон получателя, выбранный пункт, вес, размеры и объявленная стоимость посылки и описание без персональных данных (по шаблону с {order} и {site}).
• Мета заказа — номер и адрес выбранного пункта, номер отправления, статус и история статусов, без списка всех пунктов города.
• Удаление. Деактивация данные не удаляет. Удаление плагина стирает настройки, справочник и данные лицензии на сайте, только если на вкладке «Журнал и данные» отмечено «Удалить настройки и справочник пунктов». Данные заказов не удаляются никогда.

• HPOS. Плагин работает с заказами только через CRUD-методы WooCommerce и объявляет совместимость с HPOS (custom_order_tables). Включён ли HPOS, определяется через OrderUtil в try/catch.
• Блочное оформление. Совместимость с cart_checkout_blocks объявлена, данные корзины идут через Store API (extensions.ozwc), без отдельной сборки JavaScript. Подробно — в статье Блочное и классическое оформление.
• PHP 7.4–8.3, 64-битный. Номера Ozon 16-значные. На 32-битном PHP плагин не включается и пишет об этом в админке, сайт работает как раньше.
• Код — без обфускации. Дорабатывать его под свой сайт можно, кроме проверки лицензии, подсчёта пробных отправлений, передачи технических данных и метки сборки (п. 4.7 и 4.10 оферты).