网站HTTPS配置和证书管理

之前一直用老方案，最近换了新方法确实方便不少。对比一下两种做法，给还在犹豫的朋友一个参考。

先搞清楚原理

要理解HTTPS，先得搞清楚请求处理流程这个机制。直接看代码比看文字描述来得快：

<?php
function custom_meta_description_55() {
    if (is_single()) {
        global $post;
        $excerpt = get_the_excerpt($post);
        $desc = mb_substr(wp_strip_all_tags($excerpt), 0, 155);
        echo '<meta name="description" content="' . esc_attr($desc) . '">' . "\n";
    }
}
add_action('wp_head', 'custom_meta_description_55', 1);

function add_schema_markup_55() {
    if (is_single()) {
        global $post;
        $schema = array(
            '@context' => 'https://schema.org',
            '@type' => 'Article',
            'headline' => get_the_title($post),
            'datePublished' => get_the_date('c', $post),
            'dateModified' => get_the_modified_date('c', $post),
        );
        echo '<script type="application/ld+json">' . wp_json_encode($schema, JSON_UNESCAPED_UNICODE) . '</script>' . "\n";
    }
}
add_action('wp_head', 'add_schema_markup_55', 99);

实际怎么用

写代码的时候，HTTPS有几个常见写法。推荐用下面这种方式，代码更清晰，也更容易维护：

<?php
class LoginLimiter_62 {
    private static $max_attempts = 5;
    private static $lockout_time = 900;

    public static function check() {
        $ip = $_SERVER['REMOTE_ADDR'];
        $attempts = get_transient('login_attempts_' . md5($ip));
        if ($attempts !== false && $attempts >= self::$max_attempts) {
            wp_die('登录尝试过多，请15分钟后再试');
        }
    }

    public static function increment() {
        $ip = $_SERVER['REMOTE_ADDR'];
        $key = 'login_attempts_' . md5($ip);
        $attempts = (int) get_transient($key);
        set_transient($key, $attempts + 1, self::$lockout_time);
    }

    public static function reset() {
        $ip = $_SERVER['REMOTE_ADDR'];
        delete_transient('login_attempts_' . md5($ip));
    }
}

add_action('wp_login_failed', array('LoginLimiter_62', 'increment'));
add_action('wp_login', array('LoginLimiter_62', 'reset'));
add_action('login_form', array('LoginLimiter_62', 'check'));

remove_action('wp_head', 'wp_generator');
add_filter('xmlrpc_enabled', '__return_false');

进阶一点的用法

HTTPS在复杂场景下的用法和简单场景差别挺大。主要是请求处理流程这块需要额外处理，代码如下：

容易踩的坑

踩坑经验分享：HTTPS在请求处理流程方面有几个暗坑。最常见的是参数默认值不符合预期，其次是并发场景下的竞态条件。建议加上防御性检查。

写在最后

HTTPS这块先整理到这里。缓存失效是最重要的部分，务必理解透彻。如果遇到问题，先检查配置和版本，大部分报错都是这两个原因。