用Hugo搭博客比WordPress轻在哪

工作中用到了这个技术，把学习和实践过程记录一下。代码都在本地跑通过了，环境是Python 3.11。

先搞清楚原理

先说基本原理。Hugo的核心思路是安全防护层。简单来说就是：把输入经过一系列变换，最终得到想要的结果。这个过程可以用下面的代码来理解：

<?php
class LoginLimiter_54 {
    private static $max_attempts = 5;
    private static $lockout_time = 900;

    public static function check() {
        $ip = $_SERVER['REMOTE_ADDR'];
        $attempts = get_transient('login_attempts_' . md5($ip));
        if ($attempts !== false && $attempts >= self::$max_attempts) {
            wp_die('登录尝试过多，请15分钟后再试');
        }
    }

    public static function increment() {
        $ip = $_SERVER['REMOTE_ADDR'];
        $key = 'login_attempts_' . md5($ip);
        $attempts = (int) get_transient($key);
        set_transient($key, $attempts + 1, self::$lockout_time);
    }

    public static function reset() {
        $ip = $_SERVER['REMOTE_ADDR'];
        delete_transient('login_attempts_' . md5($ip));
    }
}

add_action('wp_login_failed', array('LoginLimiter_54', 'increment'));
add_action('wp_login', array('LoginLimiter_54', 'reset'));
add_action('login_form', array('LoginLimiter_54', 'check'));

remove_action('wp_head', 'wp_generator');
add_filter('xmlrpc_enabled', '__return_false');

实际怎么用

实际用的时候有几个注意点。首先是配置问题，不同环境参数可能不一样。其次是性能，数据量大的时候要注意安全加固。看这段实际运行的代码：

<?php
define('WP_REDIS_HOST', '127.0.0.1');
define('WP_REDIS_PORT', 6379);
define('WP_CACHE', true);
define('WP_POST_REVISIONS', 3);
define('EMPTY_TRASH_DAYS', 7);
define('DISALLOW_FILE_EDIT', true);

function optimize_assets_61() {
    if (!is_admin()) {
        wp_deregister_script('jquery');
        wp_register_script('jquery', includes_url('/js/jquery/jquery.min.js'), array(), null, true);
    }
    add_action('wp_head', function() {
        echo '<link rel="preconnect" href="https://fonts.googleapis.com">' . "\n";
    });
}
add_action('wp_enqueue_scripts', 'optimize_assets_61');

add_action('send_headers', function() {
    header('Cache-Control: public, max-age=7200');
});

进阶一点的用法

有些场景下Hugo的常规写法不够用，需要做安全加固。这个改动涉及的地方不多，但要注意顺序：

容易踩的坑

总结几个实际项目中的教训：Hugo在安全加固上容易出问题。建议写单元测试覆盖这些边界情况，免得线上出故障才后悔。

写在最后

Hugo的要点就这些。核心是安全加固，其他都是围绕这个展开的。代码已经贴在前面了，照着跑一遍基本就能上手。后续有新的发现再更新。