Tag: WordPress 插件安全性

近期，WordPress 决定将流行插件高级自定义字段 (Advanced Custom Fields, ACF) 分叉为名为安全自定义字段 (Secure Custom Fields, SCF) 的版本。这一举措不仅在社区中引发了广泛讨论，也是 WordPress 与 WP Engine 之间法律纠纷的直接结果，更深层次地反映了开源软件生态中安全性与商业利益之间的紧张平衡。

分叉是开源社区中的一个宝贵工具，既可以解决当前的技术问题，又可以推动项目向新的方向发展。然而，在分叉项目时，必须克服一些心理和实践上的挑战。重要的是，推动分叉的动机需要从长远发展的角度出发，明确支持的理念与价值。以下，我们将从多个角度详细探讨 ACF 与 SCF 的历史背景、分叉原因、对用户和开发者的影响，以及这对 WordPress 生态系统的深远意义。

1. 背景：WP Engine 与 WordPress 的冲突

WP Engine 是一家知名的 WordPress 托管服务提供商，其在 2022 年收购了 ACF 插件，为其添加了功能并通过自己的平台提供更新。然而，这种更新方式绕过了 WordPress.org 官方的插件目录，引发了安全性和透明度的担忧。WordPress 联合创始人 Matt Mullenweg 认为，WP Engine 的行为可能威胁到插件生态系统的完整性，尤其是当其更新不再接受 WordPress.org 社区审查时。

为了应对这种情况，WordPress 决定禁止 WP Engine 及其关联人员访问 WordPress.org 的基础设施，包括管理他们的插件和主题。这一禁令促使 WordPress 对 ACF 进行分叉，创建了 SCF 插件，以保护用户的安全并保证更新的透明性。

2. 高级自定义字段 (ACF) 的历史与地位

ACF 于 2011 年由 Elliot Condon 创建，是 WordPress 生态中最受欢迎的插件之一。它允许开发者通过简单的界面为帖子、页面和自定义帖子类型添加自定义字段，而无需复杂的代码编写。这一插件灵活、易用，吸引了超过 200 万个活跃安装用户。

ACF 的核心功能包括：

• 多种字段类型（文本、图像、文件等）。
• 高级功能（如可重复字段、中继器字段和灵活内容布局）。
• 强大的社区支持和丰富的文档资源。

2022 年，WP Engine 收购了 ACF，并将其作为其生态系统的一部分进行管理。此后，ACF 的更新被移至 WP Engine 的服务器上，而不再通过 WordPress.org 发布。

3. 为什么分叉 ACF：SCF 的诞生

安全性和透明度的考量

ACF 的更新模式让 WordPress.org 安全团队对其数据处理方式和商业追加销售表示担忧。具体问题包括：

• 更新不透明：WP Engine 通过自己的服务器发布更新，而非通过 WordPress.org 的审核流程。
• 潜在的安全漏洞：一些未过滤的数据处理方式可能导致安全风险。
• 商业追加销售：WP Engine 在插件中嵌入了付费功能推广链接，引发了社区对插件开源精神的质疑。

为了解决这些问题，WordPress 于 2024 年 10 月宣布分叉 ACF，创建 SCF 插件。SCF 删除了 ACF 中的商业追加销售功能，并强化了安全性，完全托管在 WordPress.org 官方插件目录中。

GPL 许可的作用

WordPress 插件的 GPL 开源许可证允许任何人分叉代码，前提是新版本也需要遵守 GPL 规则。这一许可使得 WordPress 有权基于 ACF 创建 SCF，从而确保插件生态系统的安全性和透明性。

4. ACF 与 SCF 的核心区别

以下是 ACF 和 SCF 的主要区别：

特征	高级自定义字段 (ACF)	安全自定义字段 (SCF)
所有权	WP Engine	WordPress.org
以安全为重点的开发	功能优先，安全性非主要考量	以安全性和透明度为核心
商业模式	提供付费专业版（ACF Pro）	完全免费，无商业追加销售
功能丰富性	提供高级功能（如中继器字段、灵活内容字段）	仅包含免费版的核心功能
更新方式	通过 WP Engine 的服务器发布	完全托管在 WordPress.org
社区支持	社区成熟，文档丰富	新插件，支持资源有限
未来创新方向	可能与 WP Engine 的生态进一步整合	侧重 WordPress 生态系统的安全与兼容性

5. 对开发者和用户的影响

开发者的挑战

• 兼容性问题：一些围绕 ACF Pro 功能构建的主题和插件可能与 SCF 不兼容。
• 功能限制：SCF 缺少 ACF Pro 的高级功能，可能需要开发者手动编写自定义代码。
• 学习曲线：从 ACF 迁移到 SCF 可能涉及适应新的插件管理模式。

用户的困惑

• 功能取舍：但是目前来看两个插件功能都很完备，用户需要在 ACF 的功能丰富性和 SCF 的安全透明性之间做出选择。
• 迁移难度：已有的自定义字段可能需要重新配置或调整。
• 客户沟通：管理多个 WordPress 客户的开发者需要向客户解释这一变化的影响。

6. 如何选择：ACF 还是 SCF？

如果您正在考虑在 ACF 和 SCF 之间进行选择，可以根据以下因素权衡：

功能需求

• 如果你依赖 ACF Pro 的高级功能（如中继器字段、灵活内容字段），建议继续使用 ACF。
• 如果你的需求相对简单，SCF 的免费功能可能已经足够。

安全与透明性

• 如果你更关注更新的安全性和透明性，SCF 是更好的选择。
• 如果你信任 WP Engine 的更新流程，则可以继续使用 ACF。

社区支持

• ACF 拥有更成熟的社区支持和文档资源。
• SCF 则依赖于 WordPress.org 社区的持续发展。

7. 其他插件是否会有类似经历？

简短的答案是肯定的。
在 WordPress 世界中，只要代码托管在 WordPress.org 插件库中，并遵循 GPL 许可协议，就始终存在被分叉的可能。GPL 赋予了任何人复制、修改和分叉代码的权利，只要遵守开源协议的约束。

一个类似的例子是 GiveWP 分叉了 Easy Digital Downloads。虽然这两个插件起源相同，但分叉后各自形成了不同的功能方向。这种分叉行为并不少见，只是在 ACF 与 SCF 的事件中，由于涉及 Automattic 和 WP Engine 等主要利益相关方，才显得格外敏感。

8. 总结

ACF 和 SCF 的分叉之争，是 WordPress 生态系统发展过程中的重要事件。对于开发者和用户来说，选择哪一款插件不仅仅是技术问题，更是对安全性、透明性和开源精神的思考。

无论你选择 ACF 还是 SCF，都需要根据自身需求权衡利弊，并密切关注未来的发展动态，以确保你的网站始终保持稳定、安全和高效。