WordPress安全现状

WordPress驱动着全球超过43%的网站，庞大的用户基数使其成为攻击者最青睐的目标。Sucuri的网站安全报告显示，2025年被入侵的CMS网站中，超过90%运行的是WordPress。WPScan漏洞数据库中已记录了超过50,000个WordPress相关的漏洞。

然而，问题往往不在WordPress核心本身——大多数安全事件源于过时的插件、弱密码和错误的配置。

WordPress常见漏洞类型

漏洞分布统计

漏洞来源占比常见漏洞类型危害程度
插件漏洞55%XSS, SQLi, RCE高-极高
主题漏洞15%XSS, 文件包含中-高
核心漏洞5%多种中-高
配置错误15%信息泄露, 权限不当中
弱密码10%暴力破解高

关键安全漏洞与修复

1. SQL注入

WordPress插件中的SQL注入漏洞非常常见。例如CVE-2024-2876影响了一个拥有百万安装量的表单插件。

修复方案：

// 错误的做法 - 直接拼接SQL
$results = $wpdb->get_results(
    "SELECT * FROM {$wpdb->posts} WHERE post_title = '{$_GET['title']}'"
);

// 正确的做法 - 使用预处理语句
$results = $wpdb->get_results(
    $wpdb->prepare(
        "SELECT * FROM {$wpdb->posts} WHERE post_title = %s",
        sanitize_text_field($_GET['title'])
    )
);

更多关于SQL注入防御的内容，请参阅SQL注入攻击防御。

2. 跨站脚本（XSS）

XSS是WordPress中最常见的漏洞类型。

// 错误 - 直接输出用户输入
echo $_GET['search_query'];

// 正确 - 转义输出
echo esc_html($_GET['search_query']);

// 在不同上下文中使用对应的转义函数
esc_html()     // HTML内容
esc_attr()     // HTML属性
esc_url()      // URL
esc_js()       // JavaScript
wp_kses_post() // 允许安全的HTML标签

3. 暴力破解登录

# 使用.htaccess限制wp-login.php的访问
# /var/www/html/.htaccess

<Files wp-login.php>
    # 只允许特定IP
    Require ip 203.0.113.0/24
    # 或限制请求频率
</Files>

WordPress安全加固清单

wp-config.php安全配置

// wp-config.php 安全加固

// 更改数据库前缀（安装时设置）
$table_prefix = 'wp_x7k9_';

// 禁用文件编辑器
define('DISALLOW_FILE_EDIT', true);

// 限制修订版本数量
define('WP_POST_REVISIONS', 5);

// 强制SSL管理面板
define('FORCE_SSL_ADMIN', true);

// 安全密钥（使用WordPress密钥生成器获取）
// https://api.wordpress.org/secret-key/1.1/salt/
define('AUTH_KEY',         'your-unique-key-here');
define('SECURE_AUTH_KEY',  'your-unique-key-here');
define('LOGGED_IN_KEY',    'your-unique-key-here');
define('NONCE_KEY',        'your-unique-key-here');

// 禁用XML-RPC（如不需要）
add_filter('xmlrpc_enabled', '__return_false');

// 自动更新设置
define('WP_AUTO_UPDATE_CORE', 'minor'); // 自动更新小版本

Nginx安全配置

server {
    # ... 基本配置 ...

    # 禁止访问敏感文件
    location ~* wp-config.php {
        deny all;
    }

    location ~* /\.ht {
        deny all;
    }

    location ~* /wp-includes/.*\.php$ {
        deny all;
    }

    location ~* /wp-content/uploads/.*\.php$ {
        deny all;
    }

    # 限制xmlrpc.php
    location = /xmlrpc.php {
        deny all;
        access_log off;
        log_not_found off;
    }

    # 限制wp-login.php的请求频率
    location = /wp-login.php {
        limit_req zone=login burst=3 nodelay;
        include fastcgi_params;
        fastcgi_pass unix:/var/run/php/php8.2-fpm.sock;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    }

    # 安全头
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
}

文件权限设置

# 设置正确的文件权限
find /var/www/html -type d -exec chmod 755 {} \;
find /var/www/html -type f -exec chmod 644 {} \;

# wp-config.php应该有更严格的权限
chmod 600 /var/www/html/wp-config.php

# uploads目录需要写权限
chmod 755 /var/www/html/wp-content/uploads

# 确保正确的所有者
chown -R www-data:www-data /var/www/html

推荐的安全插件

插件功能免费版性能影响
Wordfence全方位安全有中
Sucuri Security安全审计/CDN有低
iThemes Security安全加固有低
WP Activity Log活动日志有低

定期安全维护

# 使用WP-CLI检查插件更新
wp plugin list --update=available

# 更新所有插件
wp plugin update --all

# 检查核心文件完整性
wp core verify-checksums

# 搜索被修改的核心文件
wp core verify-checksums 2>&1 | grep "File doesn't"

建议将WordPress安全配置与服务器安全加固结合起来，在系统层面和应用层面同时建立防线。关于HTTPS配置也是WordPress安全的重要组成部分。

总结

WordPress安全并不复杂，关键在于持续维护。保持核心、插件和主题的及时更新，使用强密码和2FA，配置正确的文件权限和服务器安全设置，就能防御绝大多数攻击。记住，安全是一个过程，不是一个产品。