我正在解决Wordpress插件问题。它是一个插件，可以生成服务器上现有文件的zip文件，并返回下载文件的链接。

插件

https://wordpress.org/plugins/sp-client-document-manager/

插件插件是问题的根源。

http://smartypantsplugins.com/downloads/sp-client-document-manager-batch-operations/

该插件创建一个目录，使用AUTH\\u键作为目录名来保存生成的zip文件。当url返回给客户端时，它包含AUTH\\u密钥作为其路径的一部分。

$zip_path        = \'\' . SP_CDM_UPLOADS_DIR_URL . \'\' . AUTH_KEY. \'/\'

这将返回类似以下内容的url：

http://www.example.com/wp-content/uploads/sp-client-document-manager/{the_wordpress_auth_key}/0123456789.zip

如果url中不允许AUTH\\u密钥中的任何字符，下载将返回404。这种情况正在发生，但可以通过将AUTH\\u键更改为将在url中工作的字符串来轻松修复。我担心的是它包含AUTH\\u密钥。

泄露AUTH\\u密钥本身是一个值得关注的原因吗？