Category: WordPress

在面对暴力破解、凭证填充攻击等复杂的攻击方式时，最重要的还是密码管理。本篇文章将通过10个实用的密码管理技巧，帮助你有效加强网站的安全性。

1. 为什么密码管理如此重要

常见密码漏洞：

• 密码重复使用： 很多用户倾向于在多个平台或账户上使用相同的密码，这为黑客提供了利用漏洞进行攻击的机会。
• 弱密码： 简单的密码（如“123456”或“password”）在现代安全威胁面前几乎没有防御能力。
• 密码不更新： 长期不更新的密码容易被破解，尤其是当它们多次出现在泄露的数据库中时。

黑客技术：

• 暴力攻击： 自动化工具可以逐一尝试大量密码组合，尝试破解弱密码。
• 凭证填充： 攻击者使用从其他网站泄露的用户名和密码组合，在多个平台上测试登录。

因此，第一步你需要建立强大的密码管理实践，保护网站免遭安全威胁。

2. 10 个密码管理技巧

为每个网站账户创建唯一的密码

重复使用密码是一个常见的错误，但它使得如果一个账户被攻破，其他所有使用相同密码的账户也会受到威胁。确保每个账户使用不同的密码，可以有效限制漏洞带来的损害。

如何做到：

• 分类账户： 将账户分为不同类别，如管理账户、第三方服务账户、个人账户等。

• 使用密码管理器： 密码管理器（如 1Password、Bitwarden）可以帮助你为每个账户生成和存储独特的密码。

使用强而复杂的密码

强密码是防止暴力攻击的第一道防线。黑客的攻击工具能够快速尝试各种组合，因此简单的密码无法有效抵御攻击。

强密码的特点：

• 至少包含 12-16 个字符。
• 混合大小写字母、数字和特殊符号。

• 避免使用个人信息或常见单词（如“password123”）。

创建强密码的建议：

• 随机生成器： 使用像 Dashlane 或 Bitwarden 这样的密码生成器来创建复杂密码。
• 长而有意义的短语： 例如，“P@ssw0rd!84z#”比“password”要安全得多。

利用密码管理器

密码管理器不仅能安全存储密码，还能帮助你生成复杂且唯一的密码，自动填充登录信息，减少手动输入的安全隐患。

优点：

• 加密存储： 密码管理器使用端到端加密，确保密码在存储和传输过程中不被泄露。
• 自动填充： 让你不再需要记住每个密码，减少因输入错误或外部泄漏导致的风险。
• 跨设备同步： 现代密码管理器支持多个设备间同步，确保你随时随地安全访问密码。

推荐密码管理器：

• 1Password、Dashlane、LastPass： 适合需要高安全级别和跨设备同步的用户。
• Bitwarden、KeePass： 免费且开源的解决方案，适合预算有限或对开源项目有兴趣的用户。

为所有账户启用双因素身份验证 (2FA)

启用双因素身份验证（2FA）能显著提高账户安全性，即使密码泄露，黑客也无法仅凭密码访问账户。

2FA 增强安全性：

• 即便攻击者知道你的密码，也必须获得额外的身份验证信息才能登录（例如通过手机获取的验证码）。

常见 2FA 方法：

• 手机验证码： 通过短信或认证应用生成的一次性验证码。
• 应用程序： 如 Google Authenticator 或 Authy，通过生成短时间有效的验证码。

为 WordPress 启用 2FA：

• 安装 2FA 插件（如 WP 2FA、Google Authenticator）。
• 配置应用程序并测试 2FA 设置。

定期审核和更新密码

定期审查和更新密码是一种重要的安全习惯，确保密码能够抵御不断演进的攻击技术。

为什么需要更新密码：

• 防止密码泄露： 如果某个账户的密码已被泄露，及时更新可以避免攻击者利用旧密码。
• 减少暴力攻击成功率： 定期更换密码可以避免自动化工具针对一个固定密码进行攻击。

如何有效管理密码更新：

• 使用密码管理器的健康检查功能： 许多密码管理器提供密码健康报告，可以帮助你发现并更新弱密码。
• 设置定期提醒： 为关键账户设置自动更新提醒。

避免在浏览器中保存密码

浏览器提供了保存密码的功能，但它的安全性远远不及专业密码管理器。黑客可以通过恶意软件、浏览器漏洞等手段窃取保存的密码。

为什么不推荐保存密码：

• 加密不充分： 浏览器的加密措施远不如密码管理器强大。
• 易受恶意软件攻击： 恶意软件可以轻松读取浏览器存储的密码。

解决方案：

• 禁用浏览器中的密码保存功能。
• 使用密码管理器（如 LastPass 或 Bitwarden）来管理密码。

警惕网络钓鱼攻击

网络钓鱼是黑客用来窃取用户敏感信息的常见手段，特别是通过伪装成合法服务的邮件或网站来诱骗用户提供登录凭证。

常见钓鱼攻击：

• 假冒电子邮件： 伪装成来自你的托管服务或CMS平台的通知，要求你更新密码或提供敏感信息。
• 虚假登录页面： 攻击者创建伪装成 WordPress 登录页或其他平台登录页的页面，诱使用户输入凭证。

如何防范钓鱼攻击：

• 仔细检查发件人和链接： 确保链接与真实网站一致，并检查发件人的电子邮件地址是否可信。
• 启用 2FA： 即使凭证泄露，2FA也能降低攻击成功的概率。

使用安全的密码共享实践

团队中共享密码是不可避免的，但通过不安全的方式（如电子邮件或聊天应用）共享密码可能导致泄露。

安全共享密码的最佳实践：

• 使用密码管理器的共享功能： 通过 LastPass 或 1Password 等工具共享密码，确保密码加密和访问控制。
• 使用加密邮件或消息服务： 如 ProtonMail 或 Signal，确保共享过程中的密码不被泄露。

安全备份你的密码

备份密码可以帮助你在遭遇设备丢失或密码管理器出现故障时迅速恢复账户访问。

安全备份的建议：

• 加密备份： 通过加密的文件或使用云端服务（如 1Password 或 Dashlane）备份你的密码。
• 离线备份： 将备份存储在加密的外部硬盘或USB驱动器中，确保不依赖于单一设备。

限制登录尝试次数并使用 CAPTCHA

为了防止暴力攻击，限制登录尝试次数并使用 CAPTCHA 可以有效阻止自动化攻击脚本的运作。

为什么限制登录尝试次数有效：

• 减少暴力破解的可能性： 限制多次错误登录可以大大增加黑客破解密码的时间。
• 防止机器人攻击： CAPTCHA 能够有效阻止自动化脚本尝试猜测密码。

3. 总结

保护网站免受黑客攻击的关键是实施强大的密码管理实践。可以采取以下10个密码管理技巧：为每个账户创建唯一且强大的密码，避免重复使用；利用密码管理器存储和生成复杂密码；启用双因素身份验证（2FA）增加账户安全性；定期审核和更新密码；避免在浏览器中保存密码以防止泄漏；警惕网络钓鱼攻击，确保仅在可信环境中输入密码；使用安全的方式共享密码，如加密邮件和密码管理器的共享功能；定期备份密码，并加密存储；限制登录尝试次数并使用CAPTCHA防止暴力攻击。

在面对暴力破解、凭证填充攻击等复杂的攻击方式时，最重要的还是密码管理。本篇文章将通过10个实用的密码管理技巧，帮助你有效加强网站的安全性。

1. 为什么密码管理如此重要

常见密码漏洞：

• 密码重复使用： 很多用户倾向于在多个平台或账户上使用相同的密码，这为黑客提供了利用漏洞进行攻击的机会。
• 弱密码： 简单的密码（如“123456”或“password”）在现代安全威胁面前几乎没有防御能力。
• 密码不更新： 长期不更新的密码容易被破解，尤其是当它们多次出现在泄露的数据库中时。

黑客技术：

• 暴力攻击： 自动化工具可以逐一尝试大量密码组合，尝试破解弱密码。
• 凭证填充： 攻击者使用从其他网站泄露的用户名和密码组合，在多个平台上测试登录。

因此，第一步你需要建立强大的密码管理实践，保护网站免遭安全威胁。

2. 10 个密码管理技巧

为每个网站账户创建唯一的密码

重复使用密码是一个常见的错误，但它使得如果一个账户被攻破，其他所有使用相同密码的账户也会受到威胁。确保每个账户使用不同的密码，可以有效限制漏洞带来的损害。

如何做到：

• 分类账户： 将账户分为不同类别，如管理账户、第三方服务账户、个人账户等。

• 使用密码管理器： 密码管理器（如 1Password、Bitwarden）可以帮助你为每个账户生成和存储独特的密码。

使用强而复杂的密码

强密码是防止暴力攻击的第一道防线。黑客的攻击工具能够快速尝试各种组合，因此简单的密码无法有效抵御攻击。

强密码的特点：

• 至少包含 12-16 个字符。
• 混合大小写字母、数字和特殊符号。

• 避免使用个人信息或常见单词（如“password123”）。

创建强密码的建议：

• 随机生成器： 使用像 Dashlane 或 Bitwarden 这样的密码生成器来创建复杂密码。
• 长而有意义的短语： 例如，“P@ssw0rd!84z#”比“password”要安全得多。

利用密码管理器

密码管理器不仅能安全存储密码，还能帮助你生成复杂且唯一的密码，自动填充登录信息，减少手动输入的安全隐患。

优点：

• 加密存储： 密码管理器使用端到端加密，确保密码在存储和传输过程中不被泄露。
• 自动填充： 让你不再需要记住每个密码，减少因输入错误或外部泄漏导致的风险。
• 跨设备同步： 现代密码管理器支持多个设备间同步，确保你随时随地安全访问密码。

推荐密码管理器：

• 1Password、Dashlane、LastPass： 适合需要高安全级别和跨设备同步的用户。
• Bitwarden、KeePass： 免费且开源的解决方案，适合预算有限或对开源项目有兴趣的用户。

为所有账户启用双因素身份验证 (2FA)

启用双因素身份验证（2FA）能显著提高账户安全性，即使密码泄露，黑客也无法仅凭密码访问账户。

2FA 增强安全性：

• 即便攻击者知道你的密码，也必须获得额外的身份验证信息才能登录（例如通过手机获取的验证码）。

常见 2FA 方法：

• 手机验证码： 通过短信或认证应用生成的一次性验证码。
• 应用程序： 如 Google Authenticator 或 Authy，通过生成短时间有效的验证码。

为 WordPress 启用 2FA：

• 安装 2FA 插件（如 WP 2FA、Google Authenticator）。
• 配置应用程序并测试 2FA 设置。

定期审核和更新密码

定期审查和更新密码是一种重要的安全习惯，确保密码能够抵御不断演进的攻击技术。

为什么需要更新密码：

• 防止密码泄露： 如果某个账户的密码已被泄露，及时更新可以避免攻击者利用旧密码。
• 减少暴力攻击成功率： 定期更换密码可以避免自动化工具针对一个固定密码进行攻击。

如何有效管理密码更新：

• 使用密码管理器的健康检查功能： 许多密码管理器提供密码健康报告，可以帮助你发现并更新弱密码。
• 设置定期提醒： 为关键账户设置自动更新提醒。

避免在浏览器中保存密码

浏览器提供了保存密码的功能，但它的安全性远远不及专业密码管理器。黑客可以通过恶意软件、浏览器漏洞等手段窃取保存的密码。

为什么不推荐保存密码：

• 加密不充分： 浏览器的加密措施远不如密码管理器强大。
• 易受恶意软件攻击： 恶意软件可以轻松读取浏览器存储的密码。

解决方案：

• 禁用浏览器中的密码保存功能。
• 使用密码管理器（如 LastPass 或 Bitwarden）来管理密码。

警惕网络钓鱼攻击

网络钓鱼是黑客用来窃取用户敏感信息的常见手段，特别是通过伪装成合法服务的邮件或网站来诱骗用户提供登录凭证。

常见钓鱼攻击：

• 假冒电子邮件： 伪装成来自你的托管服务或CMS平台的通知，要求你更新密码或提供敏感信息。
• 虚假登录页面： 攻击者创建伪装成 WordPress 登录页或其他平台登录页的页面，诱使用户输入凭证。

如何防范钓鱼攻击：

• 仔细检查发件人和链接： 确保链接与真实网站一致，并检查发件人的电子邮件地址是否可信。
• 启用 2FA： 即使凭证泄露，2FA也能降低攻击成功的概率。

使用安全的密码共享实践

团队中共享密码是不可避免的，但通过不安全的方式（如电子邮件或聊天应用）共享密码可能导致泄露。

安全共享密码的最佳实践：

• 使用密码管理器的共享功能： 通过 LastPass 或 1Password 等工具共享密码，确保密码加密和访问控制。
• 使用加密邮件或消息服务： 如 ProtonMail 或 Signal，确保共享过程中的密码不被泄露。

安全备份你的密码

备份密码可以帮助你在遭遇设备丢失或密码管理器出现故障时迅速恢复账户访问。

安全备份的建议：

• 加密备份： 通过加密的文件或使用云端服务（如 1Password 或 Dashlane）备份你的密码。
• 离线备份： 将备份存储在加密的外部硬盘或USB驱动器中，确保不依赖于单一设备。

限制登录尝试次数并使用 CAPTCHA

为了防止暴力攻击，限制登录尝试次数并使用 CAPTCHA 可以有效阻止自动化攻击脚本的运作。

为什么限制登录尝试次数有效：

• 减少暴力破解的可能性： 限制多次错误登录可以大大增加黑客破解密码的时间。
• 防止机器人攻击： CAPTCHA 能够有效阻止自动化脚本尝试猜测密码。

3. 总结

保护网站免受黑客攻击的关键是实施强大的密码管理实践。可以采取以下10个密码管理技巧：为每个账户创建唯一且强大的密码，避免重复使用；利用密码管理器存储和生成复杂密码；启用双因素身份验证（2FA）增加账户安全性；定期审核和更新密码；避免在浏览器中保存密码以防止泄漏；警惕网络钓鱼攻击，确保仅在可信环境中输入密码；使用安全的方式共享密码，如加密邮件和密码管理器的共享功能；定期备份密码，并加密存储；限制登录尝试次数并使用CAPTCHA防止暴力攻击。

用子主题是修改、调整和测试主题的一个比较好用的方法，无需担心所涉及的风险。由于修改的是子主题而不是父主题，因此在更新父主题时，不会丢失任何自定义内容。

如果在进行更改后遇到任何问题，可以通过删除创建的子主题，随时恢复到原始主题。

什么是 WordPress 子主题？

子主题，顾名思义，是从父主题继承功能的主题。编辑网站 WordPress 主题可能存在风险，因为任何自定义更改都有可能影响核心主题。因此，子主题可以作为一种无风险的替代方案，可以安全地修改 WordPress 主题。

WordPress 子主题与父主题存在于不同的文件夹中，子主题依赖父主题的功能，除非进行修改。在 WordPress 仪表盘中安装子主题时，会发现它与父主题是关联的。

如果在网站上用子主题，那么 WordPress 核心会优先检查子主题的文件。如果子主题没有进行修改，WordPress 将执行父主题的文件。

需要记住的是，子主题不能独立运行，必须与父主题同时安装。

WordPress 父主题和子主题的区别是什么？

父主题是一个完整的 WordPress 主题，包含模板文件、样式表、CSS、JavaScript 文件和其他运行 WordPress 网站所需的资源。而子主题则继承其功能自父主题。

下面整理了一个表格帮助你们理解两者之间区别的对比表：

什么时候在 WordPress 中使用子主题？

可以在以下情况下使用子主题：

1. 想要自定义主题的模板或样式，但不希望修改父主题的代码。
2. 想要测试新功能或自定义设置，而不冒风险。
3. 正在开发一个新主题，并希望使用现有主题作为起点。
4. 想为特定客户或项目创建一个自定义主题，并以现有主题为基础进行开发。

创建 WordPress 子主题之前的先决条件

1. 备份网站
在创建子主题之前，一定要对网站进行备份。一旦发生意外，可以通过备份将网站恢复正常。你可以使用插件（例如 Updraft）进行备份，或者也可以通过主机控制面板创建备份。
如果你从未备份过 WordPress 网站，可以参考我们的简单指南，了解如何备份 WordPress 网站。

2. 创建暂存环境
建议的方法是在暂存环境中进行更改，测试无误后再将这些更改应用到在线环境中。创建一个 WordPress 暂存网站可以在不影响线上网站的情况下安全地测试更改。

如何手动创建子主题

在 WordPress 中创建子主题只需几个步骤。为了方便完全理解 WordPress 中子主题的概念，我们以 Twenty Fifteen 默认主题为例子，创建一个子主题，并进行一些修改，帮助你们理解子主题的原理。

步骤 1：创建子主题文件夹

首先，在本地系统中创建一个单独的文件夹，用于存放子主题所需的所有必要文件。

为什么要在本地系统中创建？

因为当完成所有文件的创建后，可以通过 FTP（文件传输协议）技术将文件夹上传到你的网站。

其次，为新创建的文件夹命名，使其与父主题名称相似，并在名称后面加上“child”这个词。例如：网站正在使用 Twenty Twenty-Two 主题。

如果想为 Twenty Twenty-Two 主题创建一个子主题，我会将文件夹命名为 Twenty-Twenty-Two-child，这表示该文件夹是 Twenty-Two 主题的子主题文件夹。

步骤 2：为子主题创建样式表

接下来，需要在子主题文件夹中创建一个名为 style.css 的文件。这个 CSS 文件将包含子主题的所有样式规则和声明。

要创建 CSS 文件，可以用 Notepad 这样的文本编辑器，或者 Sublime Text 等代码编辑器。

为了让样式表正常工作，需要在 CSS 文件的顶部添加头部注释。头部注释包含关于子主题的基本信息，包括它是某个特定父主题的子主题。

注释中最重要的两个元素是主题名称（Theme Name） 和 模板目录（Template）。主题文件通常位于 wp-content/themes 文件夹中。

打开 Notepad，将下面这些代码复制并粘贴到你的文件中，并将此文件保存为 .css 文件扩展名：

/*
Theme Name: Twenty Twenty Two Child
Theme URI: https://wordpress.org/themes/twentytwentytwo/
Author: the WordPress team
Author URI: https://wordpress.org/
Template: twentytwentytwo
Description: Child Theme of Twenty Twenty-Two
Version: 1.1
License: GNU General Public License v2 or later
License URI: http://www.gnu.org/licenses/gpl-2.0.html
Tags: black, blue, gray, pink, purple, white, yellow, dark, light, two-columns, left-sidebar, fixed-layout, responsive-layout, accessibility-ready, custom-background, custom-colors, custom-header, custom-menu, editor-style, featured-images, microformats, post-formats, rtl-language-support, sticky-post, threaded-comments, translation-ready
Text Domain: twentytwentytwo-child
This theme, like WordPress, is licensed under the GPL.
Use it to make something cool, have fun, and share what you've learned with others.
*/

保存文件后，进入 WordPress 后台管理面板 → 外观 → 主题，你会看到 Twenty Twenty-Two Child 主题已经出现了。现在可以将该主题应用到网站上。

由于 style.css 文件位于 WordPress 子主题目录中，WordPress 会加载这个 style.css 文件，而不是父主题的样式表。其他文件，如 index.php、page.php 和 functions.php，都会从父主题中加载。

不过，因为我们还没有在子主题的 style.css 中定义任何样式，所以需要导入父主题的样式。根据 WordPress Codex 的最佳实践，推荐通过 functions.php 文件将样式表加入队列（enqueue）。

步骤 3：加载父主题和子主题的样式表

与其他文件不同，WordPress 子主题中 functions.php 文件的工作原理是：WordPress 首先加载子主题的 functions.php 文件并初始化其中的函数，之后才会执行父主题的 functions.php 文件。

正如前面提到的，导入样式表的最佳方式是通过 functions.php 文件将其加入队列（enqueue）。

在子主题目录中创建一个 functions.php 文件，并添加下面这些代码：

phpCopy code<?php
add_action( 'wp_enqueue_scripts', 'enqueue_parent_styles' );
function enqueue_parent_styles() {
    wp_enqueue_style( 'parent-style', get_template_directory_uri().'/style.css' );
}

这段代码会调用父主题文件中的 style.css 样式表。如果需要编辑样式表中的内容，可以将修改后的样式规则添加到子主题的 style.css 文件中。

步骤 4：编辑子主题的 style.css 文件

在 WordPress 子主题中，可以通过在子主题文件夹中的 style.css 文件中定义样式规则，轻松编辑样式表。例如：如果我们想要更改链接的颜色，只需在子主题的 style.css 文件中添加下面这行代码：

cssCopy codea {
    color: #D54E21;
    text-decoration: none;
}

在这个过程中，子主题 style.css 文件中对链接（a）的样式规则会覆盖父主题的 style.css，其他样式则保持不变。

步骤 5：编辑 single.php 模板文件

在子主题中，可以轻松编辑单个模板文件。例如，如果想要修改 single.php 文件，必须先将该文件从父主题文件夹中复制出来，然后粘贴到 WordPress 子主题的文件夹中。

假设我们想要从单篇文章页面中移除评论部分。将文件复制到子主题文件夹后，我们可以编辑文件，删除下面代码：

// If comments are open or we have at least one comment, load up the comment template.
if ( comments_open() || get_comments_number() ) :
comments_template();
endif;

在这个过程中，WordPress 会先检查子主题文件夹中是否存在 single.php 文件。如果存在，则会从子主题文件夹加载它；如果不存在，则会回退加载父主题文件夹中的文件。

同理，我们可以编辑主题中的任何单个模板文件。这种方法非常好，因为它保持了父主题的完整性，并且在更新父主题时不会丢失自定义修改。

如何使用插件创建子主题

如果不是开发人员，没有技术背景，或者不想使用手动方法，那么可以借助插件来创建子主题。WordPress 仓库中有多个插件可以帮助快速创建子主题。

有 3 个最受欢迎的免费子主题插件：

1. Child Theme Wizard
2. WPS Child Theme Generator
3. WP Child Theme Generator

在本教程中，我们用 Child Theme Wizard 插件来生成子主题。

• 转到WordPress 仪表板 > 插件 > 添加新插件。
• 在右侧搜索栏中搜索Child Theme Wizard 插件。
• 单击“安装”按钮。
• 安装后，单击激活按钮即可激活插件。

• 成功激活插件后，会在左侧 WP 管理栏的工具选项下看到“子主题向导”选项

• 现在，必须选择父 主题。为此，需要添加标题、描述和子 主题 URL，然后单击创建 子 主题。

• 现在转到外观 > 主题并查看新创建的子主题。

这就是用插件“Child Theme Wizard”简单地创建子主题的方法。

总结

就这样！现在已经了解了什么是 WordPress 子主题，以及它与父主题的区别。在本文中，解释了用子主题的好处，以及在实施之前需要考虑的先决条件。

常见问题

Q: 什么是 WordPress 子主题？
A: WordPress 子主题是一个继承父主题所有功能、设计元素和特性的子主题。用子主题可以在更新父主题时，不会丢失自定义修改。

Q: WordPress 中父主题和子主题有什么区别？
A: 父主题是一个完整且独立的 WordPress 主题，包含所有核心功能、样式和模板。而子主题依赖于父主题，用于自定义或覆盖特定元素，而无需修改父主题的文件。
简而言之，父主题由开发者直接更新，而子主题在更新时可以保留自定义修改。

Q: 如何手动创建子主题？
手动创建子主题可以遵循以下 5 个步骤：

1. 创建一个子主题文件夹
2. 为子主题创建样式表（style.css）
3. 挂载父主题和子主题的样式表
4. 编辑子主题的 style.css 文件
5. 编辑 single.php 模板文件