登录与权限
应用密码显示最后使用时间，能当成完整的API访问审计吗？
应用程序密码记录中的创建、最后使用和来源信息，可帮助整理凭据，但不等于逐次API请求日志。完整审计还需要动作、对象和结果等事件信息，不能根据一个…
阅读解决方法 →首页 / 网站知识
130 6699 2285 · 微信同号
安全与访问
78 篇 · 第 4 / 7 页
登录与权限
应用程序密码连接失败，怎样分清认证失败与权限不足？
工具使用应用程序密码失败时，应分别检查请求是否到达WordPress、身份是否建立，以及该用户是否允许目标操作。HTTP状态码能提供线索，但响应…
阅读解决方法 →
登录与权限
WordPress自定义REST接口，permission_callback应该检查什么？
permission_callback应按接口动作检查当前请求是否被授权，而不是仅确认参数齐全。公开读取可以明确允许，涉及私有数据或修改则需要身…
阅读解决方法 →
登录与权限
角色管理插件停用后，自定义权限为什么可能仍然存在？
角色和能力可以持久保存在站点数据中。停用某个角色管理插件，未必自动撤销它创建的角色或修改；需要核对实际角色定义、用户分配与扩展卸载行为，而不能用…
阅读解决方法 →
登录与权限
判断能否编辑某篇文章，为什么不能只检查用户角色名称？
在WordPress开发中，应检查用户对具体对象的能力，而不是只比较角色字符串。编辑自己的草稿、他人的文章和已发布页面可能需要不同权限；只写“是…
阅读解决方法 →
风险与加固
恶意文件清理后，WordPress安全维护为什么还需要观察期？
清理可见异常只能说明已处理某些结果。若最初入口、被盗账号或持久任务仍在，文件可能再次生成；恢复后应围绕已知事件建立有针对性的监测，并用证据区分访…
阅读解决方法 →
风险与加固
WordPress集成密钥疑似泄漏，轮换时怎样避免新旧凭据失控？
密钥轮换既要让泄漏的旧凭据失效，也要确认合法服务已切到新凭据。先列出使用者、权限和撤销能力，按服务风险安排切换；只在配置文件换值而不撤销旧密钥，…
阅读解决方法 →
风险与加固
WordPress文件权限设成统一数字就安全吗？先看属主与写入职责
权限数字只说明属主、组和其他用户各能做什么，安全与否还取决于文件属于谁、PHP以谁运行及目录承担什么用途。不能把一套数值套到所有主机，更不能用全…
阅读解决方法 →
风险与加固
过滤掉script就能防XSS吗？WordPress输出时为什么还要按上下文转义？
防XSS不能只删除某个词或标签。相同数据进入HTML正文、属性、网址或JavaScript时，需要不同处理；WordPress提供对应转义与清理…
阅读解决方法 →
登录与权限
怀疑WordPress会话被盗，为什么只改登录密码还不够？
登录密码、浏览器会话和工具凭据是不同访问途径。怀疑会话被盗时，应在受控环境核查并撤销相关会话，同时检查应用程序密码、SSO与其他持久授权；不能只…
阅读解决方法 →
风险与加固
WordPress安全日志该留哪些字段，怎样避免把密码和客户资料一起记录？
日志应足以重建安全事件，又不应成为新的敏感资料库。优先记录时间、动作、结果、对象和可关联标识，对密码、访问令牌、会话凭据及无必要的完整请求正文进…
阅读解决方法 →
风险与加固
商业插件没有WordPress.org校验和，是不是安装包不安全？
缺少WordPress.org校验和，只说明该校验机制未覆盖这个包，并不能直接判定安全或恶意。商业插件应从授权发布者渠道核对版本和文件来源，并使…
阅读解决方法 →
