// 路由注册
register_rest_route( $namespace, '/' . $base . '/purge', array(
    array(
        'methods'             => WP_REST_Server::READABLE,
        'callback'            => array( $this, 'purge_appointments' ),
        'permission_callback' => array( $this, 'get_items_permissions_check' ),
    ),
) );

public function get_items_permissions_check( $request ) {
    // ...
    if ( true === $this->id_token_permissions_check( $request ) ) {
        return true;  // 如果调用者证明了对一个预约的所有权，则授予访问权限
    }
    // ...
}

public function purge_appointments( WP_REST_Request $request ) {
    $params = $request->get_params();

    // 没有 customer_id 或 appointment_id 的作用域限制——删除所有匹配的预约
    if ( isset( $params['purge_past_appointments'] ) && 'true' === $params['purge_past_appointments'] ) {
        $conditions[] = $wpdb->prepare( 'end_date < %s', $date_modified_max->format( 'Y-m-d' ) );
    }

    $sql = 'SELECT * FROM ' . $this->get_table_name()
         . ' WHERE ' . implode( ' OR ', $conditions )
         . ' ORDER BY id ASC LIMIT 5000';

    $list = $wpdb->get_results( $sql, ARRAY_A );
    // 在已提交的事务中级联删除 6 个表
}

1. 攻击者访问预约页面并预约任意免费预约
   → 收到确认邮件，包含：appointment_id + id_token

2. GET /wp-json/ssa/v1/appointments/purge
     ?id=<appointment_id>
     &token=<id_token>
     &purge_past_appointments=true

3. 权限检查通过（令牌对于攻击者自己的预约有效）

4. 处理函数选择站点中所有过去的预约 → 在响应中返回个人身份信息
   → 永久删除这些预约（在高级版中跨越 6 个表）