WordPress安全加固清单

最近在做项目的时候遇到这个问题，查了不少资料总算搞明白了。把过程记下来，方便以后查阅，也希望能帮到有同样需求的朋友。

先搞清楚原理

要理解WordPress，先得搞清楚模板渲染机制这个机制。直接看代码比看文字描述来得快：

<?php
function register_blog_post_type() {
    register_post_type('blog', array(
        'labels' => array(
            'name' => 'blog管理',
            'singular_name' => 'blog',
        ),
        'public' => true,
        'has_archive' => true,
        'rewrite' => array('slug' => 'blogs'),
        'supports' => array('title', 'editor', 'thumbnail', 'excerpt'),
        'menu_icon' => 'dashicons-admin-page',
        'show_in_rest' => true,
    ));
}
add_action('init', 'register_blog_post_type');

add_action('rest_api_init', function() {
    register_rest_route('custom/v1', '/blogs', array(
        'methods' => 'GET',
        'callback' => 'get_blogs',
        'permission_callback' => '__return_true',
    ));
});

function get_blogs(WP_REST_Request $request) {
    $args = array(
        'post_type' => 'blog',
        'posts_per_page' => (int) $request->get_param('per_page') ?: 10,
        'paged' => (int) $request->get_param('page') ?: 1,
    );
    $query = new WP_Query($args);
    return rest_ensure_response($query->posts);
}

实际怎么用

写代码的时候，WordPress有几个常见写法。推荐用下面这种方式，代码更清晰，也更容易维护：

<?php
function custom_meta_description_63() {
    if (is_single()) {
        global $post;
        $excerpt = get_the_excerpt($post);
        $desc = mb_substr(wp_strip_all_tags($excerpt), 0, 155);
        echo '<meta name="description" content="' . esc_attr($desc) . '">' . "\n";
    }
}
add_action('wp_head', 'custom_meta_description_63', 1);

function add_schema_markup_63() {
    if (is_single()) {
        global $post;
        $schema = array(
            '@context' => 'https://schema.org',
            '@type' => 'Article',
            'headline' => get_the_title($post),
            'datePublished' => get_the_date('c', $post),
            'dateModified' => get_the_modified_date('c', $post),
        );
        echo '<script type="application/ld+json">' . wp_json_encode($schema, JSON_UNESCAPED_UNICODE) . '</script>' . "\n";
    }
}
add_action('wp_head', 'add_schema_markup_63', 99);

进阶一点的用法

WordPress在复杂场景下的用法和简单场景差别挺大。主要是模板渲染机制这块需要额外处理，代码如下：

容易踩的坑

踩坑经验分享：WordPress在模板渲染机制方面有几个暗坑。最常见的是参数默认值不符合预期，其次是并发场景下的竞态条件。建议加上防御性检查。

写在最后

WordPress这块先整理到这里。权限校验是最重要的部分，务必理解透彻。如果遇到问题，先检查配置和版本，大部分报错都是这两个原因。