WordPress 安全评估不应止于“装了哪些插件”，还要核对这些资源是否来自可信渠道、当前是否仍有维护，以及后台账号是否拥有完成工作所需的最小权限。下面这份清单以 WP-CLI 和人工复核为主，适用于自有站点、获准评估的客户环境，以及可回滚的测试环境；不要在未授权站点上执行检查或变更。 先确定评估范围与证据留存 开始前记录站点域名、...

交接时最容易出现的尴尬场面是：上一位运维人员说“已经处理了”，下一位却找不到处理记录；报告上写着“无风险”，却没人说得清到底检查了哪些资产。巡检报告要真正支撑交接审计，关键不在分数好不好看，而在于让别人能够沿着记录还原一次完整过程。 先把“检查了谁”说清楚 报告首先要对应资产清单，写明本次涉及的服务器、域名、WordPress 站点和...

扫描结果为空，并不等于目标安全。它至少可能代表两种完全不同的情况：在有效覆盖范围内确实未发现问题，或扫描任务没有真正完成识别、访问和检测。判断空结果是否可信，关键不在“报告有没有风险项”，而在于能否证明检测过程有效、范围明确、证据完整。 先确认扫描是否真的覆盖目标 首先核对资产清单与任务记录：目标地址是否属于授权范围，域名解析和实际承...

安全运维工具箱的价值，不在于一次扫描列出多少风险，而在于把“发现问题—确认影响—安排整改—验证修复—交接留痕”串成可复核的站点巡检流程。对于同时维护服务器和 WordPress 站点的运维人员，资产管理、漏洞检测、配置核查、弱口令检测、漏洞跟踪、报告生成和日志审计应当围绕同一批授权资产协同工作，而不是各自产生无法对应的结果。 先确定工...

Nginx 加固最容易出问题的地方，不是规则写错，而是把“禁止暴露”误解成“全部拒绝访问”。安全配置应先区分公开资源、业务入口和确实不应通过 Web 暴露的内容，再以小范围、可验证、可回滚的方式实施。首页、登录、后台、上传、静态资源、备份下载、定时任务和证书验证路径，都应纳入变更前后的检查范围。 第一步是确认现状，而不是直接套用规则。...

版本号泄露和敏感目录暴露通常不会单独造成入侵，但会降低攻击者的侦察成本，并可能直接暴露源码、备份包、配置文件或上传目录。下面按“先确认、再修改、后验证、可回滚”的顺序执行，适用于使用 Nginx 作为站点入口的 Linux 服务器；重点观察首页、登录、后台、上传、静态资源、备份下载和定时任务相关路径。 一、先确认当前暴露情况 1. 检...

很多人第一次意识到 WP-Cron 的存在，是因为网站出了怪事：明明设好了早上八点定时发布的文章，到中午还躺在草稿箱里；或者备份功能好几天没动静。查来查去，锅往往就在这个名字里带 Cron 的东西上。 名字虽然像，WP-Cron 其实不算真正的定时任务。它更像一个看门大爷手里的记事本——没人上门的时候，大爷是不会主动翻本子的。WP-C...

禁用 WP-Cron 之后，任务能否准时执行，取决于一个前提是否被真正理解：WP-Cron 不是操作系统意义上的定时器，而是依附于页面访问的伪队列。有请求到达时，WordPress 才顺带检查并执行到期任务。这带来两组对称的问题——低流量站点的定时发布会因无人访问而明显延迟，高流量站点则在每次请求中重复付出队列检查的开销。禁用它的意义...

围绕禁用WP-Cron后的触发梳理可执行的检查点、常见误区和落地建议，适合中小网站和安全运维场景参考。

围绕评论区XSS防护梳理可执行的检查点、常见误区和落地建议，适合中小网站和安全运维场景参考。