WordPress应用程序密码用于独立的程序认证，默认不等于给某个密码配置了单独的只读范围。实际能力取决于关联用户的权限及接口的权限检查；需要只读接入时，应从专用账号与能力边界设计。
将主密码、应用密码和用户角色分开
应用程序密码允许工具无需使用用户主登录密码进行认证，便于单独命名和撤销。它仍代表关联用户身份，不会因为名字叫“只读报表”就自动限制为只读。也不能把WordPress.com的认证方式与自托管WordPress完全混为一谈。
为接入工具安排最小所需能力
先列出工具需要读取哪些资源、是否必须修改文章或上传媒体。为其使用合适的专用用户并核对角色能力；自定义接口还需要正确的权限检查。不要为了让一次连接成功而长期使用拥有全部管理权限的个人账号。
每个工具单独命名与管理
不同工具使用不同应用密码，内部记录用途、对应用户与负责人，秘密值只放在受控凭据位置。应用密码应通过HTTPS等合适的安全通道使用，避免出现在网址参数、截图、普通Notion正文或公开脚本中。
撤销后同时做正反向核对
停止合作或设备遗失时，撤销目标应用密码并检查工具旧凭据是否失效。其他未撤销工具应保持预期工作；如果直接删除用户或改变角色，还需评估文章归属和其他业务。认证成功与获准写入是两项不同测试。
关键区别
身份认证：证明代表哪个用户；不是独立授权范围。
用户能力：决定可做哪些操作；按最小需要配置。
单独撤销：停用某个工具凭据；还需回测旧凭据。
怎样确认处理到位
工具只具备约定能力，旧凭据撤销后不能再访问，其他工具与文章归属没有受到误伤。
容易误判的边界
不宜用公开请求测试真实写权限，更不能把密码名称当作已实施权限控制的证据。
参考资料
WordPress：Application Passwords
