有什么风险

如果您在这样的主机上，并使用WordPress通过直接文件访问来安装插件，那么您的所有插件文件都将属于apache. 同一服务器上的合法用户可以通过编写一个PHP脚本来攻击您，该脚本将邪恶代码注入到您的插件文件中。他们将脚本上传到自己的网站并请求其URL。您的代码已成功泄露，因为它们的脚本运行为apache, 与插件文件的所有者相同。

什么是FS_METHOD \'direct\' 跟这有关系吗

默认行为将try 要检测您是否处于如上所述的风险环境中，如果它认为您安全，它将使用\'direct\' 方法在这种情况下，WordPress将直接通过PHP创建文件，使它们属于apache 用户（在本例中）。否则，它将返回到一种更安全的方法，例如提示您输入SFTP凭据并在您创建文件时创建文件。

FS_METHOD = \'direct\' 要求WordPress绕过风险检测，并始终使用\'direct\' 方法

那么为什么要使用FS_METHOD = \'direct\'?

您将使用define(\'FS_METHOD\', \'direct\' ); 在像这样的误报场景中：您是受信任团队的一部分，该团队的成员都通过自己的帐户上传文件。PHP作为自己的独立用户运行。WordPress将假定这是一个有风险的环境，不会默认为\'direct\' 模式实际上，它只与您信任的用户共享，因此\'direct\' 模式是安全的。在这种情况下，您应该使用define(\'FS_METHOD\', \'direct\' ); 强制WordPress直接写入文件。

存在“配置良好”的情况，“直接”将导致问题。

还可以与非共享PHP执行用户配置共享WP宿主，不同于文件/目录所有权用户。因此，最终得到的文件是user1所有的，PHP代码以PHP-user1的形式执行。

在这种情况下，被黑客攻击的插件或核心代码（a）无法写入（甚至无法读取，取决于权限）其他用户的目录；（b） 无法写入此用户文件，因此无法将特洛伊木马代码添加到核心或插件代码。

因此，如果主机设置为那样，则必须使用FTP进行更新，“direct”将不起作用。

如果在wp config中设置“direct”。php和php执行用户没有写入权限，您将收到更新失败的消息，并且不会弹出请求FTP凭据的窗口。