WordPress多站点权限边界怎么审计?

在多站点（Multisite）架构下，权限审计的难点不在于“谁是管理员”，而在于权限究竟作用于单个站点还是整个网络。单站点环境里管理员就是权限边界的顶点，而网络环境引入了网络级与站点级两层账号关系，二者的影响范围完全不同。审计若不先厘清这条边界，就容易把“只能管理某个子站”的账号与“可以操作整个网络”的账号混为一谈，从而误判风险。

因此评估开始前应明确执行范围：命令和检查究竟针对某个子站点，还是面向整个网络。这一点直接决定盘点结果的含义。使用 WP-CLI 列出账号、插件和主题时，网络范围与单站范围得到的清单并不等价；记录证据时必须标注站点标识与执行范围，否则后续的权限判断缺少参照。

分清网络级与站点级权限

网络审计的核心是区分两类高权限归属。一类是可跨所有子站操作、能调整网络设置并管理资源分发的账号，其影响面覆盖整个网络；另一类是仅在特定子站内拥有管理权限的账号，边界应被限制在该站范围内。审计时要逐一确认：某个账号的权限是否确实需要达到网络级，还是在单站范围内就能完成工作。按照最小权限原则，不应让只负责个别子站的人员持有网络级权限。

资源层面同样存在边界问题。插件与主题在网络环境中可能被网络统一启用，也可能由各子站各自启用。审计不能只看某一子站的前台状态，还要核对资源是在网络层生效还是站点层生效，以及它是否具备跨站管理用户、修改设置或访问数据的能力。判断依据应来自文档、配置与代码审阅，而非名称推断。

让边界判断可复核

发现网络级权限异常或归属不明的账号时，先保存账号标识、角色、发现时间与相关日志，并联系负责人确认，未经批准不要直接改动角色或删除账号——在多站点环境下，权限变更可能同时影响多个子站的登录与内容归属。处置后应分别验证网络级功能与受影响子站的登录和关键流程，并记录回滚方法。把“确认无越权”与“未能验证范围”分开记录，才能让多站点的权限边界真正说明清楚：每个账号作用于哪一层、为何需要，以及是否经过复核。