www.wpcitation.com/

Tag: WordPress 安全

如何提升 WordPress 网站的安全性并强制设置用户强密码
使用强密码是保护网站用户数据和防止攻击的基本措施之一。在这篇文章中，我们将详细探讨如何在 WordPress 网站中要求用户设置强密码，并介绍其他提升网站安全性的方法。

一、为什么需要强密码？

使用强密码可以显著提高网站的整体安全性。以下是强密码的主要优势：
1. 防范暴力攻击
  强密码更难被破解，尤其是在面对暴力破解攻击时。
2. 提高用户数据安全性
  有效保护敏感的用户信息，减少被恶意攻击者利用的风险。
3. 遵守安全标准
  符合现代网络安全实践，增强用户对网站的信任。
二、如何在 WordPress 网站上要求用户设置强密码？

启用 WordPress 密码强度检测

WordPress 包含一个内置的密码强度检测工具，可以提示用户选择更强的密码。

启用步骤：
1. 转到你的 WordPress 仪表板。
2. 导航到 用户 > 添加新用户 或 个人资料。
3. 在密码字段中输入密码。
4. 将出现强度建议，指示密码是强、中等还是弱。
虽然密码强度检测是一个有用的指南，但它并不默认强制使用强密码。为了确保用户遵循指南，需要采用额外措施。

自定义代码实现强密码
1. 打开主题的 functions.php 文件
  使用代码编辑器或 WordPress 仪表板中的主题编辑器，找到并打开当前主题的 functions.php 文件。
1. 添加以下代码段：
```
function enforce_strong_passwords($errors, $update, $user) {
    if (strlen($_POST['pass1']) < 8) {
        $errors->add('weak_password', '密码必须至少包含 8 个字符，并且包含大写字母、小写字母、数字和符号。');
    }
    return $errors;
}

add_filter('user_profile_update_errors', 'enforce_strong_passwords', 10, 3);
```
1. 保存文件
  保存更改后，当用户尝试设置不符合标准的密码时，他们将收到错误提示并无法保存弱密码。
使用插件强制执行强密码规则

如果不想直接修改代码，可以通过以下插件实现强密码策略：
- Password Policy Manager
  一个功能强大的插件，可以设置复杂的密码规则。
设置指南：
1. 安装并激活插件。
2. 在插件设置中启用密码强制规则，例如：
  - 密码长度至少为 8 个字符。
  - 包含大小写字母、数字和特殊符号。
3. 保存更改，用户将在注册或修改密码时被强制遵守这些规则。
三、增强 WordPress 网站安全性的其他措施

仅仅设置强密码还不足以保障网站安全，以下是一些你可以采取的其他增强措施：

1. 启用双因素身份验证（2FA）

双因素身份验证通过要求用户在登录时提供额外的验证信息（例如通过手机接收的代码）来增加安全性。

2. 定期更新 WordPress

确保 WordPress 核心、主题和插件始终是最新版本，以防范已知漏洞。

3. 使用 SSL 证书

SSL 证书可以对用户与网站之间的数据通信进行加密，从而保护敏感信息。安装并启用 SSL 后，你的网址将以 “https://” 开头。

4. 限制登录尝试次数

限制连续登录失败的次数，可以有效防止暴力破解攻击。推荐使用插件如 Limit Login Attempts Reloaded。
December 10, 2024
如何使用 WordPress 密码策略插件提升网站安全性：详细指南
在保护 WordPress 网站中，许多用户选择简单密码方便记忆，但这增加了网站面临黑客攻击和暴力破解的风险。WordPress 密码策略插件可以帮助管理员在网站上强制执行密码规则，从而提升用户账户和数据的安全性。

为什么需要 WordPress 密码策略插件？
- 提高网站的安全性
密码策略插件允许管理员设置强密码规则，例如最小长度、必须包含大写字母和数字等。这些规则确保用户在创建密码时遵循更严格的安全标准，降低被暴力破解的风险。
- 减少密码共享风险
密码策略插件可以限制密码的重复使用，并通过自动过期功能强制用户定期更换密码，减少意外与他人共享密码的风险。
- 提供灵活的策略设置
不同网站有不同的需求，例如电子商务网站可能需要更严格的密码策略，而内容博客的要求可以适当宽松。密码策略插件提供了灵活性，允许管理员根据具体需求调整密码规则。

如何使用 WordPress 密码策略插件？

以下是使用 Password Policy Manager 插件的完整步骤，帮助你建立有效的密码策略。

步骤 1：安装并激活插件
1. 下载插件：
  - 前往 WordPress 仪表板，点击 “插件” > “安装插件”。
  - 在搜索栏中输入 “Password Policy Manager”，找到插件后点击 “立即安装”。
  - 安装完成后，点击 “激活” 按钮。
1. 确认插件可用：
  - 插件激活后，在 WordPress 管理菜单中看到一个新的 “Password Policy Manager” 选项。
步骤 2：启用密码策略
1. 打开密码策略设置：
  - 点击 “Password Policy Manager”，进入插件的设置页面。
2. 启用密码策略：
  - 在 “密码策略设置” 页面上，找到 “Enable all settings”来 启用密码策略 的选项，将开关切换为开启状态。
1. 配置基本规则：
  - 勾选以下选项以设置基础密码规则：
    
    小写和大写字母要求：密码必须包含大小写字母。
    
    数字要求：密码中必须包含至少一个数字。
    
    特殊字符要求：密码必须包含特殊字符（如 @、#、$）。
    
    密码长度：设置最小和最大长度（默认最小长度为 8 个字符）。
步骤 3：配置高级功能

设置密码过期时间
- 在同一页面中，找到 “密码过期” 设置。
- 切换 “Enable Expiration Time”（启用过期时间）开关。
- 设置密码的有效期，例如 7 周、90 天或其他时间间隔。
- 这一功能会在密码到期前提醒用户更改密码，确保密码不会长期使用。
启用一键密码重置
- 在密码策略页面中，找到 “重置密码” 设置。
- 启用后，当用户尝试登录时，如果密码不符合策略或已过期，他们会被引导至密码重置页面。用户可以选择自动生成强密码或手动输入符合要求的密码。
基于角色的策略设置
- 如果使用插件的高级版本，可以为不同用户角色设置特定的密码策略。
- 例如：
  - 为管理员设置更复杂的密码要求。
  - 为订阅者提供相对宽松的规则。
- 进入 “密码策略” 页面顶部的 “基于角色设置”，为每个角色调整密码规则。
查看报告
- 前往 “报告” 页面。
- 启用 “Enable Reporting”（启用报告）选项，查看用户登录时间、密码更改历史等详细信息。
  - 请注意：免费版本仅支持查看活跃用户的报告，高级版本可以查看所有用户的活动记录。
步骤 4：强制执行密码策略
1. 移除弱密码选项
  - 插件会自动禁用 WordPress 默认的“确认使用弱密码”功能，确保用户无法设置不符合安全要求的密码。
2. 限制密码重复使用
  - 在高级设置中，可以阻止用户重复使用之前使用过的密码。
3. 强制密码更新
  - 为长期未更改密码的用户设置提醒或强制要求密码更新。
总结

WordPress 密码策略插件是提升网站安全性的关键工具，通过强制用户使用强密码、设置密码过期时间和限制密码重复使用，可以有效防止黑客攻击和数据泄露。
December 4, 2024
深入解析在 WordPress 中实现 JWT 身份验证的完整指南
JWT（JSON Web Token）是一种轻量级、自包含、用于身份验证和授权的令牌，它将用户信息（如用户ID、角色和权限等）编码到一个 JSON 对象中，然后对其进行数字签名，从而生成一个经过签名的令牌。本文将详细介绍 JWT 的概念、结构，并讲解如何在 WordPress 中实现 JWT 的生成和验证。

什么是 JWT？

JWT 是一种安全机制，常用于无状态的 RESTful API 认证。它允许服务器对传递的令牌进行验证，从而保证用户身份的真实性。由于 JWT 在客户端和服务器之间传输时是加密的，因此可以防止信息被篡改。

JWT 的结构

JWT 由三部分组成：Header（头部）、Payload（负载）和 Signature（签名），它们通过点（.）连接，形成一个完整的 JWT，如下所示：
```
header.payload.signature
```
1. Header（头部）
Header 是一个 JSON 对象，包含两个属性：alg（签名算法）和 typ（令牌类型）。常见的签名算法有 HS256、RS256 等。Header 会被 Base64Url 编码，生成如下字符串：
```
{
  "alg": "HS256",
  "typ": "JWT"
}
```
1. Payload（负载）
Payload 也是一个 JSON 对象，包含用户信息和其它业务数据。声明可以是预定义的（如 iss、exp、sub 等），也可以是自定义的。Payload 同样会被 Base64Url 编码，生成如下字符串：
```
{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022
}
```
预定义字段包括：
- iss (issuer)：签发人
- sub (subject)：主题
- aud (audience)：受众
- exp (expiration time)：过期时间
- nbf (Not Before)：生效时间
- iat (Issued At)：签发时间
- jti (JWT ID)：唯一身份标识
1. Signature（签名）
签名用于保证 JWT 的完整性和安全性。它将 Header、Payload 和一个密钥（Secret）通过签名算法进行加密。示例如下：
```
HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret
)
```
生成的签名会被附加到 JWT 的末尾，形成完整的 JWT：
```
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
```
在 WordPress 中实现 JWT

在 WordPress 中实现 JSON Web Token (JWT) 身份验证涉及以下步骤：

步骤 1：安装 JWT Authentication 插件
1. 登录到你的 WordPress 管理后台。
2. 导航到插件 > 安装新插件。
3. 搜索 JWT Authentication for WP REST API。
4. 安装并激活该插件。
步骤 2：配置插件
1. 激活插件后，导航到设置 > JWT Authentication。
2. 在设置页面中，你需要配置以下选项：
  - Secret Key：这是用于签署 JWT 的密钥。你可以在 wp-config.php 文件中添加以下代码行来设置密钥：define('JWT_AUTH_SECRET_KEY', 'your-secret-key');
  - Enable CORS：如果你有跨域请求的需求，可以启用这个选项。
步骤 3：配置 .htaccess 文件

在你的网站根目录下的 .htaccess 文件中添加以下规则：
```
<IfModule mod_rewrite.c>
RewriteEngine on
RewriteCond %{HTTP:Authorization} ^(.*)
RewriteRule ^(.*) - [E=HTTP_AUTHORIZATION:%1]
</IfModule>
```
步骤4：生成 JWT

以下是一个用于生成 JWT 的函数：
```
function wpjam_generate_jwt($payload, $secret='', $header=[]){
    // 无法生成没有设置过期时间的 JWT
    if(empty($payload['exp'])){
        return false;
    }

    $header = wp_parse_args($header, [
        'alg' => 'HS256',
        'typ' => 'JWT'
    ]);

    if($header['alg'] == 'HS256'){
        $header     = base64_urlencode(wpjam_json_encode($header));
        $payload    = base64_urlencode(wpjam_json_encode($payload));
        $jwt        = $header.'.'.$payload;
        $secret     = $secret ?: wp_salt();

        return $jwt.'.'.base64_urlencode(hash_hmac('sha256', $jwt, $secret, true));
    }
}
```
上述代码首先对 Header 和 Payload 进行 JSON 编码和 URL 安全的 Base64 编码。生成签名的密钥（Secret）如果为空，则使用 WordPress 默认的盐值函数来生成。最后将 Header、Payload 和生成的签名通过点（.）连接起来，形成一个完整的 JWT。

步骤5：验证 JWT

验证 JWT 的过程是生成的反过程，具体实现如下：
```
function wpjam_verify_jwt($token, $secret=''){
    $tokens = explode('.', $token);

    if(count($tokens) != 3){
        return false;
    }

    list($header, $payload, $sign) = $tokens;

    $jwt    = $header.'.'.$payload;
    $secret = $secret ?: wp_salt();
    $header = wpjam_json_decode(base64_urldecode($header));
    $payload= wpjam_json_decode(base64_urldecode($payload));

    if(empty($header['alg']) || $header['alg'] != 'HS256'){
        return false;
    }

    if(!hash_equals(base64_urlencode(hash_hmac('sha256', $jwt, $secret, true)), $sign)){
        return false;
    }

    // 签发时间大于当前服务器时间验证失败
    if(isset($payload['iat']) && $payload['iat'] > time()){
        return false;
    }

    // 该 nbf 时间之前不接收处理该 Token
    if(isset($payload['nbf']) && $payload['nbf'] > time()){
        return false;
    }

    // 没有设置过期时间，或过期时间小于当前服务器时间验证失败
    if(empty($payload['exp']) || $payload['exp'] < time()){
        return false;
    }

    return $payload;
}
```
上面的代码首先通过点（.）将 JWT 分割成 Header、Payload 和 Signature 三段，然后对 Header 和 Payload 进行 URL 安全的 Base64 解码和 JSON 解码。通过签名的密钥最后验证签名的正确性。如果签名有效并且令牌未过期，则返回 Payload 数据。

步骤6：Base64 URL 编码和解码函数

在上述过程中用到的 URL 安全的 Base64 编码和解码函数 base64_urlencode 和 base64_urldecode 也需要定义：
```
function base64_urlencode($data) {
    return rtrim(strtr(base64_encode($data), '+/', '-_'), '=');
}

function base64_urldecode($data) {
    return base64_decode(str_pad(strtr($data, '-_', '+/'), strlen($data) % 4, '=', STR_PAD_RIGHT));
}
```
总结

通过 wpjam_generate_jwt 和 wpjam_verify_jwt 这两个函数，可以在 WordPress 中实现 JWT 的生成和验证。JWT 提供了一种安全、无状态的方式来认证用户，在现代 Web 开发中越来越流行。
July 23, 2024
全面指南：提升WordPress网站安全性
内容管理系统 (CMS) 是一种软件应用程序，可帮助用户构建、管理和自定义网站，而无需自己编写代码。WordPress 是世界上最流行的内容管理系统之一，因此成为网络攻击者的高价值目标。

WordPress 自己的内部团队会定期提供安全更新，并提供针对新发现的系统漏洞的补丁，但是 WordPress 用户也可以采取一些措施，确保自己的网站抵御已知和新出现的威胁。这些步骤大多分为两类：消除威胁和降低风险。

WordPress 的安全性如何？

常见的 WordPress 攻击
1. 基于密码的攻击：暴力破解密码尝试是指攻击者在登录页面上重复输入不同的用户凭据（用户名和密码组合），通常用于未经授权进入 WordPress 帐户。其他形式的密码攻击包括凭据填充和字典攻击。
2. 跨站脚本攻击 (XSS)：XSS 允许向 WordPress 网站注入恶意代码。这通常通过 WordPress 插件实现。
3. SQL 注入 (SQLi)：有时也称为数据库注入，SQLi 攻击通过数据输入字段（例如联系表格）向 WordPress 网站注入恶意代码。
4. DDoS 攻击：DDoS 攻击会给 WordPress 网站带来大量不必要的流量，导致网站性能严重下降或服务中断。
WordPress 漏洞
1. 过时的 WordPress 版本：WordPress 会定期更新其核心软件，以修补现有漏洞并加强对新威胁的防御。旧版本的 WordPress 没有这些保护措施，可能仍然容易受到攻击。
2. 第三方主题和插件：第三方 WordPress 主题和插件可提供多种功能，但可能并不总是符合最新的安全要求。因此，将它们安装在 WordPress 网站上会带来风险。
3. 后门：一旦 WordPress 帐户被攻击者破解，就可以创建后门（一种绕过安全措施的隐蔽方法）。后门允许攻击者反复访问 WordPress 网站或发起进一步攻击。
4. 用户身份验证薄弱：不注意密码卫生（创建高强度密码、定期更改密码等）或不实施多因素身份验证 (MFA) 会增加破解风险。
5. WordPress 的默认设置：WordPress 有多种默认设置，因此攻击者很容易识别常见的入口点（如 /wp-login.php URL）和敏感的网站信息（如 wp-config.php 文件）。
WordPress 安全最佳做法

用户可以采取几个步骤来保护 WordPress 网站免受常见网络威胁和已知漏洞的侵害。这些步骤通常可分为以下几类：网站设置、主动安全功能、用户访问、用户权限和网站安全更新。

一、保护网站设置
1. 使用安全的 WordPress 托管：WordPress 网站的安全性取决于其托管服务提供商（代表用户提供内容的第三方服务）。应选择能够抵御复杂攻击、帮助扫描新出现的漏洞和威胁并提供灾难恢复资源的主机。
2. 更改 WordPress 默认登录页面 URL 和数据库前缀：这些 URL（分别以 /wp-login.php 和 /wp-admin 结尾）在所有 WordPress 网站上都默认处于启用状态，因此攻击者很容易找到它们。可以将它们重命名，以帮助避免暴力破解密码尝试和其他有针对性的威胁。
3. 移动 wp-config.php 文件：wp-config.php 文件包括 WordPress 安全密钥和其他敏感的 WordPress 安装详细信息。不幸的是，它也很容易找到。将该文件移至 WordPress 根目录之上，使攻击者难以找到。
4. 安装安全的 WordPress 主题：有些 WordPress 主题尚未更新以支持最新版本的 WordPress，或者可能不符合现有的 WordPress 安全标准。因此，它们可能更容易被攻击者利用。选择 WordPress 主题目录中包含的主题，或在安装前通过 WordPress 主题验证器进行验证。
5. 隐藏正在使用的 WordPress 版本：许多 WordPress 攻击利用的是不同版本 WordPress 特有的漏洞。通过隐藏正在使用的 WordPress 版本，用户可以避免这些威胁，或使攻击者难以发现其网站的现有漏洞。
二、安装主动安全功能
1. 使用 SSL/TLS 证书：安全套接字层 (SSL) 也称为传输层安全性 (Transport Layer Security, TLS)，它是一种安全协议，有助于确保在 Web 上传输数据的安全和加密。SSL 证书可从托管服务提供商或 Cloudflare 等第三方安全服务机构获得。
1. 安装防火墙：Web 应用程序防火墙 (WAF) 位于 WordPress 网站前端，用于过滤和阻止未经授权的流量。安装 WAF 有助于防止 DoS 和 DDoS 攻击对网站服务造成重大影响。
2. 阻止使用 XML-RPC 协议的 HTTP 请求：XML-RPC 经常被用来进行大规模网络攻击或暴力尝试。可使用插件或防火墙规则选择退出 XML-RPC 功能。
3. 防止热链接：热链接允许第三方嵌入来自 WordPress 网站的内容，而无需自行托管。当这种情况反复发生时，就会增加内容原始主机的带宽成本。
三、保护用户访问
1. 强制实施 MFA：MFA 要求用户在访问受保护的系统或帐户之前提供一种额外的身份验证方式，即使攻击者破解了合法用户的用户名/密码组合，也很难侵入 WordPress 网站。
2. 限制失败的登录尝试次数：当攻击者在登录页面上无限制地尝试输入凭据时，密码攻击就更有可能成功。
3. 自动注销不活动的用户：有些用户可能会通过公共计算机访问 WordPress 帐户，或养成其它不安全的浏览习惯。在设定的闲置时间后自动注销用户，以减少窥探和其它未经授权的第三方访问的机会。
4. 删除不活动的用户帐户：即使用户不再使用自己的帐户访问 WordPress 网站，他们的帐户和登录凭据也可能成为攻击者的目标。
四、管理用户权限
1. 限制文件和文件夹权限：除非绝对必要，否则用户不应拥有管理员级别的权限。限制用户可以在 WordPress 网站上执行的功能，以降低不必要的数据共享的可能性，并将漏洞的影响降至最低。
2. 禁止编辑文件：WordPress 的默认文件编辑器允许用户编辑 PHP 文件。如果 WordPress 帐户被破解，该功能还允许攻击者大面积修改网站文件的代码。
3. 监控用户活动：WordPress 攻击既可能来自外部，又可能来自内部。定期记录和审查用户活动，以跟踪任何可疑行为（如更改文件、安装未经授权的插件等）。
五、更新 WordPress 安全功能
1. 更新到最新版本的 WordPress：WordPress 会定期更新，以防御已知漏洞。查看 WordPress 仪表板顶部的通知，其会在新版本可用时提醒用户。在仪表盘选择“更新”检查Wordpress是否为最新版本。
1. 更新 WordPress 主题和插件：每个主题和插件都是攻击者的潜在切入点。正如旧版本的 WordPress 可能包含重大漏洞一样，攻击者也经常使用过时的主题和插件对 WordPress 用户进行攻击。可在仪表盘或已安装插件对插件进行更新。
2. 定期进行安全扫描：使用可信的安全插件、软件或第三方服务自动检查恶意软件和其它安全风险。
3. 定期备份网站数据：养成定期备份网站数据，万一被攻击，可以通过最近的网站备份恢复丢失的数据。
总结：

通过采取以上这些步骤，用户可以大大提高 WordPress 网站的安全性，保护其免受各种网络威胁和已知漏洞的侵害。维护网站安全不仅能保障数据的完整性，还能提升用户的信任感，从而帮助网站实现长期稳定的发展。
July 23, 2024
如何在WordPress中有效使用Google reCAPTCHA以提升网站安全和用户体验
什么是WordPress reCAPTCHA？

WordPress reCAPTCHA 是一个安全工具，它帮助你区分网站上的真实用户和自动程序（如机器人）。它通过显示一个小测试，比如解决一个简单的谜题，或者在幕后自动检查访问者是否为真人，来实现这一目的。

你可以通过两种方式在WordPress网站上添加reCAPTCHA：
1. 使用插件：这是一种简单方便的方式，通过安装一个插件来集成reCAPTCHA。
2. 编辑主题文件：您可以直接在网站的代码中嵌入Google的API来添加reCAPTCHA。
为什么在WordPress网站上使用reCAPTCHA

在你的WordPress网站上安装Google的CAPTCHA可以带来以下几个显著的好处：
1. 提高安全性：Google CAPTCHA有助于防止暴力攻击，这些攻击可能会中断你网站的正常运行。它还能有效防止垃圾评论和恶意软件通过联系表单提交信息，保护你的网站不受侵害。
2. 改善用户体验：与其他安全验证方法不同，Google CAPTCHA的设计更加人性化。它能够在用户几乎察觉不到的情况下在后台运行，从而提供更流畅的用户体验。
3. 维护网站诚信：使用垃圾邮件和机器人过滤器可以帮助确保您的WordPress网站显示的数据是可靠和合法的，保持网站的整体完整性。
4. 简便的集成：WordPress用户可以非常容易地通过插件免费集成Google CAPTCHA，无需任何编程知识。
在WordPress网站上使用Google CAPTCHA不仅可以增强网站安全，还能提升访客的整体访问体验，同时确保网站内容的真实性和有效性。

如何使用插件启用 Google reCAPTCHA？

1. 安装 WordPress reCAPTCHA 插件

通过管理仪表板设置 WordPress 验证码插件。有多种选择，但我们将使用高级 Google reCAPTCHA，因为它很简单并且提供免费版本。

请按照以下步骤下载并安装 WordPress 插件：
1. 登录进入 WordPress 仪表板，导航至侧边栏 →插件→添加新插件。
2. 搜索栏输入Advanced Google reCAPTCHA，等待弹出搜索结果。
3. 单击插件上的立即安装，单击“启用”。
2. 设置和配置 Google reCAPTCHA

设置 Google CAPTCHA 帐户以获取用于将服务与插件连接的 API 密钥。登录你的 Gmail 帐户并打开reCAPTCHA 管理面板。

在注册表中输入以下信息：
- 标签。你的 reCAPTCHA 的名称。
- 验证码类型。在你的网站上实施的验证方法。
- 域。你的网站域名。可以添加多个域。
- 拥有者。 reCAPTCHA 管理员。它会自动设置为你当前的电子邮件地址。
勾选服务条款复选框并单击提交按钮。 Google 将为API 连接生成密钥和站点密钥。将它们存放在安全的位置。

3. WordPress 仪表板上配置 reCAPTCHA

刷新WordPress 仪表板，导航至侧边栏上的“设置” → “高级 Google reCAPTCHA” 。在验证码选项卡中，根据你在 Google 上配置的验证码类型选择验证码类型。

如何设置和验证WordPress reCAPTCHA插件？
1. 验证你的密钥：
  - 首先，将你的“验证码站点密钥”和“验证码密钥”粘贴到插件提供的相应字段中。
  - 点击“验证验证码”按钮以检查密钥是否有效。
  - 然后，点击“保存更改”完成设置。
2. 配置显示位置：
  - 转到“显示位置”选项卡。
  - 使用开关按钮选择你希望显示reCAPTCHA的位置，如登录页面或注册表单。
  - 再次点击“保存更改”。
3. 测试和确认功能：
  - 要确认reCAPTCHA是否正常工作，你可以前往网站的实时页面，尝试登录或注册操作。
  - 确保安全检查在指定区域内正确显示。
通过这些简单的步骤，你可以轻松集成并启动reCAPTCHA，增强网站的安全性并保护用户免受自动化攻击。

如何手动为 WordPress 启用 Google reCAPTCHA？

如果你不想安装插件，可通过修改主题的functions.php文件代码来手动启用Google CAPTCHA。不建议初学者使用此方法，因为错误配置可能会损害你网站的可用性。
1. 找到主题文件夹：
  - 使用文件管理器导航到 /wp-content/themes/theme_name 目录。
2. 编辑功能文件：
  - 右键单击 function.php 文件并选择“编辑”来打开它。
3. 添加代码：
  - 在文件的底部输入适合您需要的代码。例如，如果您想在登录页面添加reCAPTCHA，您会添加一个特定的代码片段。
4. 保存更改：
  - 完成后，点击窗口右上角的磁盘图标保存您的更改。
例如，此代码片段将在 WordPress 登录页面上显示安全签入：
```
// 在登录表单页面调用 Google reCAPTCHA 验证 API 
function login_style() { 
    wp_register_script('login-recaptcha', 'https://www.google.com/recaptcha/api.js', false, NULL); 
    wp_enqueue_script('登录-recaptcha'); 
add_action 
('login_enqueue_scripts', 'login_style'); 

// 在登录表单页面上添加 Google 验证码
function add_recaptcha_on_login_page() { 
    echo '<div class="g-recaptcha小册子__form__captcha" 
// 将占位符替换为您的站点密钥
data-sitekey="INSERT_YOUR_SITE_KEY_HERE"></div>'; 
add_action 
('login_form','add_recaptcha_on_login_page');
```
将占位符替换为实际站点密钥。如果你想在其他区域显示reCAPTCHA，请修改代码。例如，我们将在帖子的 WordPress 评论表单中显示它：
```
// 在 WordPress 帖子评论表单中添加验证码

function add_google_recaptcha_to_comment_form() { 
    echo '<script src="https://www.google.com/recaptcha/api.js" async defer></script>'; 
    echo '<div class="g-recaptcha" data-sitekey="YOUR_SITE_KEY"></div>'; 
}

函数 verify_google_recaptcha_comment($commentdata) { 
    $recaptcha_response = $_POST['g-recaptcha-response']; 

    $response = wp_remote_post( 
        'https://www.google.com/recaptcha/api/siteverify', 
        array( 
            'body' => array( 
                'secret' => 'YOUR_SECRET_KEY', 
                'response' => $recaptcha_response, 
            ) , 
        ) 
    ); 

    $data = json_decode(wp_remote_retrieve_body($response)); 

    if (!$data->success) { 
        wp_die('reCAPTCHA 验证失败，请重试。');
    返回

    $评论数据；
add_action 

('comment_form', 'add_google_recaptcha_to_comment_form'); 
add_filter('preprocess_comment', 'verify_google_recaptcha_comment');
```
选择合适的reCAPTCHA版本

Google提供了几种reCAPTCHA版本，每种都有其特定的验证方法：
- reCAPTCHA v3：这个版本使用JavaScript API自动评估访问者，无需用户交互即可完成验证。它会根据评估分数决定是否允许访问或采取其他操作，如发送警报或要求进行额外验证。
- reCAPTCHA v2：包括两种形式：隐形徽章和复选框。隐形徽章通过单击激活，其工作原理类似于v3，使用JavaScript API自动运行。而复选框版本则要求访问者主动勾选一个验证框，可能还需要完成额外的任务（如识别图片中的物体）。
为了提供更好的用户体验，推荐使用reCAPTCHA v3或v2的隐形徽章版本，因为这两者更加隐蔽，不太会打扰到用户。

在关键区域部署reCAPTCHA

在登录页面部署验证码是常见的做法，为了增强安全性，还应考虑在其他关键区域部署，例如：
- 结账页面：在线商店可以在此处添加验证码，以防止欺诈订单。
- 评论表单：博客可以在此处添加验证码，以防止垃圾评论。
- 注册和重置密码表单：这些是其他潜在的高风险区域。
避免用户体验不佳

在需要大量用户交互的页面上频繁使用需要显式交互的reCAPTCHA（如复选框）可能会导致糟糕的用户体验。因此，仅在必要时在关键操作区域部署reCAPTCHA。

测试和优化

在正式环境中部署之前，应在开发环境中彻底测试reCAPTCHA的实现，确保不会影响网站的可用性和用户导航。

通过遵循这些最佳实践，你可以有效地利用Google reCAPTCHA保护你的WordPress网站，同时确保提供顺畅的用户体验。

结论

Google reCAPTCHA 是一项区分人类流量和机器人流量的安全功能。它有助于保护你的网站免受垃圾评论和暴力攻击等在线威胁。使用高级 Google reCAPTCHA 插件和代码将 reCAPTCHA 添加到 WordPress，两者具有相同的结果。
April 17, 2024
WordPress 安全深度分析：了解其真实安全性
WordPress 到底有多安全？很多新手可能会担心这个问题，特别是当他们听说 WordPress 是一个开源项目的时候。所以，有没有一些数据可以帮我们了解 WordPress 的安全性呢？

答案是肯定的。在这篇文章里，我们尽可能收集了一些关于 WordPress 安全性的重要数据和信息。我们会从 WordPress 的核心、主题和插件的安全性，到登录信息和托管服务的安全状况，详细探讨一番。

我们的目的是让你对 WordPress 的安全状况有个清楚的认识，同时指出可能存在的风险，以及如何防范这些风险。

据统计，WordPress 是最受黑客攻击的目标

当我们谈论 WordPress 的安全性，有个很重要的数字要记住：43%。根据 W3Techs 的数据，全球有这么多的网站是用 WordPress 建立的。注意，这个数字指的不是 WordPress 在所有内容管理系统中的市场份额（实际上更高），而是它在整个互联网上所有网站中的占比。

这个比例相当高，说明 WordPress 非常受欢迎。虽然这对 WordPress 的支持者来说是个好消息，但这也意味着它更容易成为黑客的攻击目标。

由于 WordPress 网站数量众多，这个平台成了黑客攻击的重点。实际上，根据 Sucuri 在 2022 年发布的威胁研究报告，WordPress 网站在所有被感染的网站中占比高达 96.2%。

听起来不太安全，是吗？

当你看到 WordPress 成为这么多黑客攻击的目标时，你可能会觉得这个平台确实有安全漏洞。为什么它会成为黑客攻击的主要对象呢？

原因很简单：WordPress 的普及度非常高，这使它成为了一个更显眼、更吸引黑客的目标。对黑客来说，攻击一个有数亿网站使用的平台比攻击一个用户群较小的平台要更有效率，也更容易。黑客们很明智地利用了这一点。

坏消息是，确实有很多 WordPress 网站每年遭到黑客的成功攻击。但好消息是，正如你接下来会看到的，这些攻击并非不可避免。其实，许多成功的攻击都是可以预防的。关键是要知道如何保护自己。

WordPress 核心漏洞统计

要判断 WordPress 是否安全，我们先来看看有关 WordPress 核心软件的安全统计数据。

大多数被黑的网站尚未更新

根据 Sucuri 的报告，大部分被黑入的 WordPress 网站使用的是旧版本。到 2022 年，超过半数的受到恶意软件感染的网站没有更新到 WordPress 的最新版本。

不意外，一些老旧的 CMS 版本已经被发现有许多已知的安全漏洞。所以，如果你还在使用这些版本之一来运行你的网站，那就等于是直接邀请别人来攻击它。

实际上，大部分的安全问题都集中在 WordPress 4.0 版本及以前的版本中。从那以后，安全漏洞的数量有了明显的下降。

Sucuri 的研究也显示了这种趋势。和以前相比，因为没有更新而遭到黑客攻击的 WordPress 网站的数量正在减少。

实际上，在他们调查的所有内容管理系统中，WordPress 因为使用的是旧版本而遭受感染的情况比例是最小的。

这个趋势已经持续了两年，期间 WordPress 因旧版本受到感染的情况稍微减少了。这是与 2021 年数据的对比结果。

这是用户问题，而不是 WordPress 问题

WordPress 用户有多勤快地更新他们的网站呢？事实上，很多人都没能跟上。这里是 WordPress.org 记录的野生环境中网站运行的 WordPress 版本分布情况。

从数据来看，只有约 60% 的用户安装了最新版本的 WordPress。不过，好消息是，大多数用户至少运行在较安全的 WordPress 4.0 或更高版本上，且四分之三的用户至少更新到了最新的主版本，这是一个进步。比如在 2016 年，仅有大约 50% 的用户这样做。

这个进步的原因之一，可能是 WordPress 5.6 版本引入的自动更新功能。用户不再需要手动点击更新按钮，网站能够自动安装新版本的 WordPress，这肯定促进了更新的积极态势。

WordPress 安全基础设施有效

虽然不是所有用户都积极更新他们的网站，WordPress 的核心安全团队还是能够有效应对并及时修复每个新版本中发现的安全问题。在 2023 年，WordPress 已经推出了三个专注于安全的更新版本，解决了大约 20 到 30 个潜在的安全漏洞，其中单独的 WordPress 6.0.3 版本就修复了 16 个安全问题。而在 2022 年，WordPress 发布了四个专门修复安全问题的版本，总共修复了 26 个漏洞。

这种对安全的重视不仅限于 WordPress 核心软件，它还扩展到了整个生态系统。例如，当 Elementor 遇到一个重大安全漏洞时，它被迅速修复了。同样，Ninja Forms 在收到 WordPress.org 的强制更新后也解决了安全问题，BackupBuddy 也迅速修复了一个高危安全漏洞，并向用户推送了更新。

所以，尽管 WordPress 像任何其他软件一样可能遇到安全挑战，但它拥有快速应对这些挑战的保护措施。最大的挑战是确保用户及时应用这些安全更新和修补程序。

WordPress 主题和插件安全统计

作为世界上最受欢迎的内容管理系统，WordPress 提供了海量的扩展功能，很多还是免费的。到目前为止，仅 WordPress 的官方目录里就包含了将近 60,000 个插件和超过 11,000 个主题。

除了 WordPress 官方目录之外，网上还有成千上万的其他插件，很多都是付费的高级选项。这让 WordPress 成为一个强大的平台，因为不管你需要什么功能，很有可能已经有人开发出了解决方案。

但是，网站上每安装一个额外的插件或主题，就可能给攻击者打开了一个新的大门。这些扩展是由各种开发者负责，它们可能没有经过像 WordPress 核心软件那样严格的审查，因此更有可能隐藏安全风险。而且，有时开发者可能不再更新他们的产品，使这些插件和主题变得陈旧。

这就是为什么插件尤其在 WordPress 安全问题中占据了如此重要的地位。WPScan.com 的数据显示，插件是 WordPress 大部分安全漏洞的来源。

Patchstack也得到了类似的数字。

显然，免费插件对WordPress安全构成了较大风险。据Sucuri的研究，付费的主题和插件只构成了所有第三方漏洞的小部分（8.62%），而大多数（91.38%）来自免费扩展。

另一个常见的问题是网站继续使用已知存在安全隐患的旧版本插件或主题。Sucuri的数据显示，在发现受感染的网站时，有36%至少安装了一个已知存在漏洞的插件或主题。

流行的扩展是大多数黑客攻击的原因

有趣的是，问题插件和主题的分布很广泛。Sucuri报告指出，一些最容易遭受攻击的插件包括老版本的Contact Form 7（占27.44%）、Freemius Library（占20.85%）和WooCommerce（占14.51%）。此外，还有其他几个也在名单上。

那我们为什么还要使用这些存在安全问题的插件呢？实际上，问题并不在于这些插件本身的安全性，而是因为它们非常受欢迎。比如，Contact Form 7 就有超过500万次安装。

而且，一旦安全问题被发现，这些插件的开发团队通常会迅速解决。问题主要出现在用户没有及时更新插件。同时，为了解决这些安全隐患，还在进行一些工作，比如提出了一种插件检查器的提案，这和主题检查工具的想法很相似。

因此，我们需要记住的关键是保持主题和插件的更新，这和维护WordPress网站的其他部分一样重要。

登录漏洞

登录信息是另一个导致网站易受黑客攻击的关键因素。如果使用简单的用户名和密码，那么通过暴力破解或撞库攻击破解这些凭据将变得非常容易。

在这种情况下，无论您的网站多么更新，或者您的插件和主题有多安全，一旦有人获得了对您网站的完全访问权限，他们能做的就没有什么限制了。

例如，Sucuri 发现，在32.69%的受感染的网站中，有恶意的WordPress管理员用户。下面是一些他们经常使用的用户名和电子邮件地址的例子。

另一方面，这部分是用户能直接控制的地方之一。比如，WordPress 自带的自动生成安全密码的功能，为什么不用起来呢？

不过，你也需要对网站的其他账户采取同样的措施，比如你的托管账户和FTP凭证。除此之外，还有其他方法可以增强你的登录页面安全性，比如限制登录尝试次数和启用双重认证。

托管安全统计

托管环境和所用技术对网站的安全也很重要，特别是对于运行WordPress的PHP版本。例如，PHP 7相比之前的PHP 5引入了更好的安全特性。

此外，PHP开发者对老版本实行了严格的停止支持政策。截至本文撰写时，PHP 8.0以前的版本已经停止了支持和安全更新，所以最好不要长期使用这些旧版本。

在这里，WordPress 看起来不太好。虽然绝大多数 WordPress 网站至少运行在 PHP 7.0 上，其中近一半运行在 7.4 上，但只有略多于四分之一的网站使用积极支持的版本。

甚至有大约 6% 仍然在 PHP 5.x 版本上运行，该版本已经多年没有得到任何支持。因此，如果您还没有更新您的 PHP 版本，请更新它。

WordPress 安全统计简述

没有一个CMS是百分之百安全的，事实上，任何连接到网络上的东西都不可能完全安全。不过，尽管你可能在别处听到过不同的说法，WordPress的安全记录整体上是相当不错的。是的，存在一些问题需要被解决，但是大多数问题都在积极地得到处理。

如果你想让你的网站更安全，可以遵循以下几条建议：
- 始终更新你的WordPress、插件和主题到最新版本。
- 只使用来自可信来源的扩展功能。
- 为你网站的所有账户使用强密码。
- 考虑使用防火墙或CDN。
- 限制登录尝试次数。
- 用SSL证书来加密网站流量，包括后台管理页面。
- 选择一个能保持PHP版本更新的托管服务。
遵循这些建议，你的WordPress网站至少在安全方面能有一个积极的记录。
April 5, 2024