在构建 WordPress 插件时，安全性应该是首要考虑的因素。 WordPress 插件通常是攻击者的主要目标，因为它们的广泛使用和对敏感数据的潜在访问。插件中的单个漏洞可能会危害整个网站，导致数据泄露、污损或其他严重影响。安全插件可确保用户数据安全并防止常见攻击，确保可靠且值得信赖的体验。下面，我们将介绍一些创建安全 WordPress 插件的基本最佳实践，并且我将分享一些实际示例。

1. 使用 Nonce 保证表单和 URL 安全

随机数对于防范跨站请求伪造 (CSRF) 攻击至关重要。它们有助于验证请求的真实性，特别是对于执行敏感操作的表单和 URL。每当您创建表单或 URL 时，请使用 WordPress 的 wp_nonce_field() 或 wp_create_nonce() 生成随机数。在服务器端，您应该使用 check_admin_referer() 或 check_ajax_referer() 验证随机数。

if (isset($_POST['my_nonce']) && wp_verify_nonce($_POST['my_nonce'], 'my_action')) {
// Safe to proceed with action
}

这种保护也可以应用于 AJAX 请求，以确保它们来自授权用户：

add_action('wp_ajax_my_secure_action', 'my_secure_ajax_handler');
function my_secure_ajax_handler() {
check_ajax_referer('my_secure_nonce', 'security');
// Handle the request
wp_die();
}

2. 清理和验证用户输入

攻击者破坏您的插件的最简单方法之一是注入恶意数据。这就是为什么清理和验证每个用户输入至关重要。 WordPress 提供了几个内置函数来帮助您做到这一点：

• sanitize_text_field() ：用于简单文本字段。
• sanitize_email() ：对于电子邮件地址。
• esc_url() ：对于 URL。

这些功能非常适合基本场景。但是，您可以使用 PHP 的 filter_var() 来处理更具体的情况。例如，要验证一个整数：

$input = filter_var($_POST['user_input'], FILTER_VALIDATE_INT);
if ($input !== false) {
// Input is valid
}

对于更复杂的场景，例如当您需要验证多项选择输入时，请考虑使用自定义验证：

$valid_options = ['option_1', 'option_2', 'option_3'];
if (in_array($_POST['selected_option'], $valid_options, true)) {
// Input is valid
}

这可确保仅处理预期值，从而降低出现意外问题的风险。

 3. 转义输出

转义输出对于防止跨站脚本 (XSS) 攻击至关重要。每当您向用户显示数据时，请使用 WordPress 的转义函数，例如：

• esc_html() ：转义 HTML 内容。
• esc_attr() ：用于属性值。
• esc_url() ：对于 URL。

这是一个例子：

echo esc_html($user_input);

这可以防止潜在危险的代码在浏览器中运行，从而保证用户的安全。

4. 安全数据库查询

为了防止 SQL 注入，请始终使用$wpdb类的准备语句。避免在 SQL 查询中直接连接用户输入。相反，使用占位符：

$results = $wpdb->get_results($wpdb->prepare("SELECT * FROM {$wpdb->prefix}my_table WHERE id = %d", $id));

准备语句可确保用户输入被充分转义并被视为数据，而不是可执行的 SQL 代码。

5. 正确处理用户角色和能力

当创建涉及不同级别用户权限的功能时，请使用 current_user_can() 确保只有具有适当能力的用户才能执行特定操作：

if (current_user_can('manage_options')) {
// Only allow administrators to run this code
}

对于高级角色管理，您可以定义自定义功能并将其分配给特定角色，这有助于您严格控制谁可以访问插件的敏感部分。

6. 防止跨站脚本（XSS）

XSS 攻击是最常见的漏洞之一。如前所述，始终清理用户输入和转义输出。如果您需要允许特定的 HTML 标签，请使用 wp_kses() 安全地过滤它们：

$allowed_tags = [
'a' => [
'href' => [],
'title' => []
],
'b' => [],
'em' => []
];
$safe_html = wp_kses($user_input, $allowed_tags);

这样，您可以允许一些基本格式设置，同时保护用户。

7. 小心文件处理

如果处理不当，文件上传可能会带来巨大的安全风险。要降低这些风险，请仅允许特定文件类型、检查 MIME 类型并将文件上传到安全位置：

$allowed_file_types = ['jpg', 'jpeg', 'png', 'pdf'];
$file_type = wp_check_filetype(basename($_FILES['file']['name']));
if (in_array($file_type['ext'], $allowed_file_types)) {
// Proceed with upload
}

您可以根据 WordPress 的指南使用wp_handle_upload()安全地管理上传：

$uploaded_file = wp_handle_upload($_FILES['file'], ['test_form' => false]);
if ($uploaded_file && !isset($uploaded_file['error'])) {
// File successfully uploaded
}

限制上传文件的大小并执行额外的安全检查（例如病毒扫描或使用哈希函数验证文件完整性）也是一个好习惯。

 8. 保护 AJAX 请求

AJAX 是让您的插件更加动态的好方法，但正确保护它也很重要。确保所有 AJAX 请求都验证随机数并检查用户能力：

add_action('wp_ajax_my_action', 'my_ajax_handler');
function my_ajax_handler() {
check_ajax_referer('my_nonce', 'security');
if (current_user_can('edit_posts')) {
// Handle the request
}
wp_die();
}

为了确保您的插件安全，请记住保护经过身份验证的 (wp_ajax_) 和未经身份验证的 (wp_ajax_nopriv_) AJAX 操作。

9. 确保敏感数据安全

切勿将敏感数据（例如 API 密钥）直接硬编码到您的插件中。相反，请使用 WordPress 选项 API 或环境变量安全地存储它们：

update_option('my_plugin_api_key', sanitize_text_field($api_key));

这样，敏感信息就可以保持隐藏状态，并且不易被潜在攻击者访问。

10.遵循最小特权原则

只授予用户和进程他们需要的权限。如果任务不需要管理员权限，请不要使用它们。这一原则有助于限制受损用户帐户可能造成的损害。

11. 防止暴力攻击

暴力攻击很常见，尤其是对于登录表单。您可以使用 Wordfence 等插件或实现速率限制功能：

function limit_login_attempts() {
$ip_address = $_SERVER['REMOTE_ADDR'];
$attempts = get_transient('login_attempts_' . $ip_address);
if ($attempts >= 5) {
wp_die('Too many login attempts. Please try again later.');
}
set_transient('login_attempts_' . $ip_address, $attempts + 1, 60 * 15); // Limit to 5 attempts per 15 minutes
}
add_action('wp_login_failed', 'limit_login_attempts');

这个简单的策略可以帮助保护您的插件免受暴力攻击。

12. 记录敏感操作

日志记录对于跟踪可疑活动至关重要。如果用户更改插件设置或多次登录尝试失败，您应该记录这些事件以供将来分析：

function log_action($message) {
$log_file = WP_CONTENT_DIR . '/plugin_logs.txt';
$current_time = current_time('mysql');
file_put_contents($log_file, "[$current_time] $message\n", FILE_APPEND);
}
log_action('Plugin settings changed by user ID ' . get_current_user_id());

13. 推荐的安全插件

为了进一步增强插件的安全性，推荐一些广泛信任的插件。 Wordfence和Sucuri是不错的选择。它们提供防火墙保护、恶意软件扫描和登录安全等功能，可以提供额外的防御层。

• Wordfence ：端点防火墙和恶意软件扫描。
• Sucuri ：安全审核、恶意软件检测和 DDoS 防护。

将这些与插件的内置安全功能一起使用可以创建强大的防御系统。

14. 安全的 WooCommerce 集成

WooCommerce 在美国和欧洲非常受欢迎，因此如果您的插件集成了，请正确处理所有数据。验证和清理每个输入，尤其是在处理订单或付款信息时。您还可以使用 WooCommerce 的内置功能来安全地处理支付数据。

例如：

$order = wc_get_order($order_id);
if ($order) {
$total = $order->get_total();
// Perform secure operations with the order
}

尊重 WooCommerce 的安全实践并确保您处理的任何客户数据的安全。

15.使用多重身份验证（MFA）

启用多重身份验证 (MFA) 是添加额外安全层的好方法，尤其是对于管理员帐户。许多插件（例如Duo或Google Authenticator ）允许您轻松地将 MFA 添加到 WordPress 安装中，从而使攻击者更难获得未经授权的访问。

16. 不同地区的本地化和测试

如果您计划吸引国际受众，那么本地化您的插件并确保其在不同环境中运行至关重要：

• 多语言支持：为了使您的插件易于翻译，请使用 WordPress 的本地化功能，例如 __() 和 _e()。
• 时区处理：确保您的插件正确处理不同的时区，特别是在涉及调度时。

在不同的语言设置和服务器时区下测试您的插件将帮助您确保与全球用户的兼容性。

此外，它还通过负责任地处理个人数据、提供明确的同意选项以及允许用户根据请求删除或导出其数据来确保遵守 GDPR。

17. 配置 WordPress 以获得最大安全性

除了保护您的插件之外，配置 WordPress 对于最大安全性也至关重要。以下是一些建议：

• 限制对敏感文件的访问：使用 .htaccess 限制对 wp-config.php 等文件的访问。
• 禁用文件编辑：通过将此行添加到 wp-config.php 来防止通过 WordPress 仪表板编辑文件：

define('DISALLOW_FILE_EDIT', true);

• 限制登录尝试：使用安全插件或自定义代码来限制登录尝试次数。

18. 保持 WordPress 和插件更新

众所周知，保持 WordPress、主题和插件更新对于安全至关重要。更新通常包括安全补丁，因此请确保一切都保持最新。
考虑使用提供自动更新的托管提供商，以确保您的网站保持安全。

19. 执行安全测试

定期安全测试有助于在攻击者之前发现漏洞。 WPScan之类的工具有助于实现此目的：

# Example WPScan command to check for vulnerabilities
wpscan --url https://example.com --api-token YOUR_API_TOKEN

此外，进行代码审查和渗透测试可以帮助您发现插件代码中的弱点。

 结论

开发 WordPress 插件时应始终考虑安全性。通过遵循这些最佳实践，您将能够更好地保护您的插件及其用户免受威胁。这是一个持续的过程，因此请不断学习，保持更新，并思考如何使您的插件更加安全。

以安全第一的心态进行开发可以让您安心并与用户建立信任，确保他们可以自信地使用您的插件。

回顾一下：

• 使用随机数并验证输入。
• 保护数据库查询和转义输出。
• 小心处理文件上传。
•  保护 AJAX 请求。
• 确保敏感数据的安全并遵循最小权限原则。
• 防止暴力攻击并记录敏感操作。
• 使用推荐的安全插件并启用 MFA。
• 测试不同语言、时区和 GDPR 合规性。
• 定期更新并进行安全测试。

通过实施这些实践，您就可以顺利开发出安全、可靠的 WordPress 插件。