从主题中的文件夹加载所有文件-安全问题？

时间：2016-05-10 作者：Daniel Florido

我在下面的配置文件中使用这段代码，自动要求同一目录和子目录中的其他PHP文件。这有助于我的工作流程变得更加高效。我担心我应该在这段代码中使用更多的wordPress安全功能，因为我目前没有使用任何功能。如果这段代码有任何wp安全增强功能，有人能推荐一些吗？

<?php 
$theme_path = \'wp-content/themes/\' . get_template() . \'/acf\';
$theme_path_admin = \'../wp-content/themes/\' . get_template() . \'/acf/\';
if (!is_admin()) {

  $filepath= new SplFileInfo($theme_path);
} else {
  //filepath from admin

$filepath= new SplFileInfo($theme_path_admin);
}
req_php_files($filepath->getRealPath()); ?>

1 个回复
最合适的回答,由SO网友:GlennFriesen 整理而成

在php层只能添加这么多安全性。要获得更高的安全性，请修改。htaccess文件，禁用目录浏览，禁用XML-RPC，并拒绝访问特定于WP的文件。

    <files .htaccess>
        Order allow,deny
        Deny from all
    </files>
    <files readme.html>
        Order allow,deny
        Deny from all
    </files>
    <files readme.txt>
        Order allow,deny
        Deny from all
    </files>
    <files install.php>
        Order allow,deny
        Deny from all
    </files>
    <files wp-config.php>
        Order allow,deny
        Deny from all
    </files>

    # Rules to disable XML-RPC
    <files xmlrpc.php>
        Order allow,deny
        Deny from all
    </files>

    # Rules to disable directory browsing
    Options -Indexes
不要/毕竟，pxs/wp内容/上传/打开到web。如果您上传了一份包含重要细节或其他内容的合同，该怎么办

禁止黑客修理。您的com黑名单。htaccess文件也是一个好主意。下面是它的开头：

    RewriteEngine on
    RewriteCond %{HTTP_USER_AGENT} ^[Ww]eb[Bb]andit [NC,OR]
    RewriteCond %{HTTP_USER_AGENT} ^Acunetix [NC,OR]
    RewriteCond %{HTTP_USER_AGENT} ^binlar [NC,OR]
    RewriteCond %{HTTP_USER_AGENT} ^BlackWidow [NC,OR]
    RewriteCond %{HTTP_USER_AGENT} ^Bolt\\ 0 [NC,OR]
    RewriteCond %{HTTP_USER_AGENT} ^Bot\\ mailto:craftbot\\@yahoo\\.com [NC,OR]
    RewriteCond %{HTTP_USER_AGENT} ^BOT\\ for\\ JCE [NC,OR]
    RewriteCond %{HTTP_USER_AGENT} ^casper [NC,OR]
    RewriteCond %{HTTP_USER_AGENT} ^checkprivacy [NC,OR]
    RewriteCond %{HTTP_USER_AGENT} ^ChinaClaw [NC,OR]

标签： themes   security   小码农  

相关推荐

如何直接从$POST对象检索所有元数据？如$POST->Related_Themes？

我设置了一个元字段related_topics 我用来联系的lesson topics 自定义帖子类型lesson. 我在这里读过https://stackoverflow.com/questions/19640850/wordpress-how-to-return-meta-with-query-posts您可以通过以下方式直接从post对象访问元字段$post->my_field.对于给定的lesson 可能有几个相关的topics. 对于给定的lesson 有多个topics, 我注意到了$p