WordPress会话令牌如何实现撤销与失效

WordPress 会话令牌的撤销，关键不在于删除浏览器里的 Cookie，而在于让服务器不再接受它所代表的登录状态。仅要求管理员关闭页面或退出自己的设备，无法阻止已经取得旧 Cookie 的人继续尝试访问。因此，处置疑似账号失陷时，应把“旧会话是否仍有效”作为单独的验证项。

撤销有不同范围。若只怀疑某个账号，应优先让该账号的现有会话失效，并修改密码；密码修改通常会触发会话令牌清理，但不同版本及插件的行为需要实际验证。若无法判断哪些账号或设备受影响，可轮换 wp-config.php 中的认证密钥与盐值，使依赖旧密钥的登录 Cookie 失效。这一做法影响范围更广，可能让正常用户、编辑和移动端会话一并退出，实施前应评估未保存草稿和业务中断风险。

还要区分后台登录会话与其他授权入口。撤销登录会话不等于撤销 Application Passwords、插件授权、REST API 密钥或第三方 OAuth 令牌；这些凭据应按受影响范围分别检查和撤销。若攻击者已创建新管理员或留下持久化入口，旧会话失效也不能阻止其重新登录。

验证时，不要只看管理员能否用新密码登录，还应检查旧会话是否被拒绝，并确认相关授权入口已按计划失效。完成撤销后，再结合账号、文件和计划任务的核查，才能判断访问权限是否真正收回。