登录密码、浏览器会话和工具凭据是不同访问途径。怀疑会话被盗时，应在受控环境核查并撤销相关会话，同时检查应用程序密码、SSO与其他持久授权；不能只改一处密码就推断所有入口失效。
确认涉及的用户和访问方式
记录异常动作关联的用户、时间和入口，区分浏览器登录、API调用与第三方单点登录。共享账号会降低归因能力，IP和设备信息也只是线索。先保护可继续被滥用的访问，不向未核实的人发送新的管理员凭据。
针对会话执行撤销
WordPress具备管理用户会话的机制，WP-CLI也提供销毁指定或全部用户会话的命令。操作前明确目标，避免误登出全部业务人员。撤销后应在原测试会话验证需要重新认证，而不只检查后台列表数量减少。
另查不依赖浏览器的授权
应用程序密码和外部SSO可能有各自的撤销机制，插件还可能保存独立令牌。列出相关集成并按用途停用或轮换。不要因浏览器被登出，就认为自动化工具、邮件连接或身份提供方也已经失去访问。
调查凭据取得原因
检查终端、钓鱼、恶意浏览器扩展和站点漏洞等可能来源，结合实际证据处理。重新发放凭据前确保接收设备和恢复渠道可信。保留异常行为与撤销结果的时间线，继续观察是否仍有未授权操作出现。
关键区别
登录密码：用户认证秘密；不是全部访问凭据。
浏览器会话：维持已登录状态；需要单独核查。
第三方授权：API或SSO入口；按系统分别回收。
怎样确认处理到位
已确认旧会话与需撤销凭据均失效，保留的合法访问正常；取得凭据的原因有处理记录或明确待查边界。
容易误判的边界
撤销某个用户会话不等于已修复入侵来源，也不自动删除攻击者创建的账号、文件或外部授权。
