【WordPress】ログイン不要で非公開投稿を一時的に共有するURLを生成する方法

function add_share_token_on_save($post_id) {
  if (get_post_status($post_id) !== 'private') return;

  if (!get_post_meta($post_id, '_share_token', true)) {
    $token = bin2hex(random_bytes(8));
    update_post_meta($post_id, '_share_token', $token);
    // 有効期限（48時間後）
    update_post_meta($post_id, '_share_token_expires', time() + 48 * HOUR_IN_SECONDS);
  }
}
add_action('save_post', 'add_share_token_on_save');

function handle_private_post_share_link() {
  if (is_admin() || !isset($_GET['p'], $_GET['token'])) return;

  $post_id = absint($_GET['p']);
  // get_post()はWP_Queryの可視性チェックを経由しない直接取得なので、
  // 非公開投稿でも取得できる
  $post = get_post($post_id);

  if (!$post || $post->post_status !== 'private') return;

  $token   = get_post_meta($post_id, '_share_token', true);
  $expires = (int) get_post_meta($post_id, '_share_token_expires', true);
  $url_token = sanitize_text_field(wp_unslash($_GET['token']));

  // hash_equals()でタイミング攻撃を防止（$token===$url_tokenは不可）
  if (!$token || !hash_equals($token, $url_token)) return;
  if ($expires && time() > $expires) return;

  // キャッシュプラグインにこのレスポンスをキャッシュさせない
  if (!defined('DONOTCACHEPAGE')) define('DONOTCACHEPAGE', true);
  nocache_headers();
  status_header(200);

  global $wp_query;
  $wp_query->is_404 = false;
  $wp_query->is_single = true;
  $wp_query->queried_object = $post;
  $wp_query->queried_object_id = $post->ID;

  setup_postdata($post);

  get_header();
  ?>
  <article class="shared-private-post">
    <h1><?php echo esc_html(get_the_title($post)); ?></h1>
    <div class="entry-content"><?php echo apply_filters('the_content', $post->post_content); ?></div>
  </article>
  <?php
  get_footer();
  exit;
}
add_action('template_redirect', 'handle_private_post_share_link');

function get_private_share_url($post_id) {
  $token = get_post_meta($post_id, '_share_token', true);
  return add_query_arg('token', $token, get_permalink($post_id));
}