Login and Permissions
应用密码显示最后使用时间，能当成完整的API访问审计吗？
应用程序密码记录中的创建、最后使用和来源信息，可帮助整理凭据，但不等于逐次API请求日志。完整审计还需要动作、对象和结果等事件信息，不能根据一个…
Read the solution →Home / Website Knowledge
Practical Guide · Ongoing Support
Guides
How to Find a Solution Based on a Specific Problem: First, review the applicable conditions and troubleshooting steps, then decide whether you need assistance.
First, choose a topic, then identify a specific question.
Operation and Maintenance
98 GuidesWebsite Errors, Backup and Recovery, and Daily Handoffs
Expand 2 more topics
Activate Renewal, Email Sending and Receiving, and Device Configuration
Design and Output
23 GuidesFrom PowerPoint Layout to Posters, Large-Format Printing, and Prepress
Setting Up WordPress
236 GuidesThemes, Editors, Plugins, and Business Features
Speed and Pictures
114 GuidesCaching, Loading Speed, Images, and Fonts
Expand 2 more topics
Security and Access
78 GuidesAccount Permissions, Risk Assessment, and HTTPS
Servers and Environment
38 GuidesPHP, Databases, and Web Servers
Marketing and Content
147 GuidesSEO, AI Search, Traffic Analysis, and Global Expansion
Expand another topic
The website, email, and design are being handled by someone on an ongoing basis.
130 6699 2285 · Same WeChat ID
Security and Access
78 篇 · 第 4 / 7 页
Login and Permissions
应用程序密码连接失败，怎样分清认证失败与权限不足？
工具使用应用程序密码失败时，应分别检查请求是否到达WordPress、身份是否建立，以及该用户是否允许目标操作。HTTP状态码能提供线索，但响应…
Read the solution →
Login and Permissions
WordPress自定义REST接口，permission_callback应该检查什么？
permission_callback应按接口动作检查当前请求是否被授权，而不是仅确认参数齐全。公开读取可以明确允许，涉及私有数据或修改则需要身…
Read the solution →
Login and Permissions
角色管理插件停用后，自定义权限为什么可能仍然存在？
角色和能力可以持久保存在站点数据中。停用某个角色管理插件，未必自动撤销它创建的角色或修改；需要核对实际角色定义、用户分配与扩展卸载行为，而不能用…
Read the solution →
Login and Permissions
判断能否编辑某篇文章，为什么不能只检查用户角色名称？
在WordPress开发中，应检查用户对具体对象的能力，而不是只比较角色字符串。编辑自己的草稿、他人的文章和已发布页面可能需要不同权限；只写“是…
Read the solution →
Risks and Reinforcement
恶意文件清理后，WordPress安全维护为什么还需要观察期？
清理可见异常只能说明已处理某些结果。若最初入口、被盗账号或持久任务仍在，文件可能再次生成；恢复后应围绕已知事件建立有针对性的监测，并用证据区分访…
Read the solution →
Risks and Reinforcement
WordPress集成密钥疑似泄漏，轮换时怎样避免新旧凭据失控？
密钥轮换既要让泄漏的旧凭据失效，也要确认合法服务已切到新凭据。先列出使用者、权限和撤销能力，按服务风险安排切换；只在配置文件换值而不撤销旧密钥，…
Read the solution →
Risks and Reinforcement
WordPress文件权限设成统一数字就安全吗？先看属主与写入职责
权限数字只说明属主、组和其他用户各能做什么，安全与否还取决于文件属于谁、PHP以谁运行及目录承担什么用途。不能把一套数值套到所有主机，更不能用全…
Read the solution →
Risks and Reinforcement
过滤掉script就能防XSS吗？WordPress输出时为什么还要按上下文转义？
防XSS不能只删除某个词或标签。相同数据进入HTML正文、属性、网址或JavaScript时，需要不同处理；WordPress提供对应转义与清理…
Read the solution →
Login and Permissions
怀疑WordPress会话被盗，为什么只改登录密码还不够？
登录密码、浏览器会话和工具凭据是不同访问途径。怀疑会话被盗时，应在受控环境核查并撤销相关会话，同时检查应用程序密码、SSO与其他持久授权；不能只…
Read the solution →
Risks and Reinforcement
WordPress安全日志该留哪些字段，怎样避免把密码和客户资料一起记录？
日志应足以重建安全事件，又不应成为新的敏感资料库。优先记录时间、动作、结果、对象和可关联标识，对密码、访问令牌、会话凭据及无必要的完整请求正文进…
Read the solution →
Risks and Reinforcement
商业插件没有WordPress.org校验和，是不是安装包不安全？
缺少WordPress.org校验和，只说明该校验机制未覆盖这个包，并不能直接判定安全或恶意。商业插件应从授权发布者渠道核对版本和文件来源，并使…
Read the solution →
