WP Tavern 第225期：Milan Petrović 谈 WordPress 旧版 PHP 的安全风险与升级必要性
Milan Petrović 在 WP Tavern 第225期中指出，WordPress 站点使用旧版 PHP 会暴露于已知漏洞和自动化利用，升级至 PHP 8 可增强安全并改善性能。他通过 Vulnerability Lab 插件对比了认证绕过和服务端请求伪造在旧代码中的利用情况，并展示现代 PHP 的原生防护。现代化升级可逐步进行，每次更新一个插件。
#安全加固
#安全加固
今日 0 条WP Tavern编辑评分4646
Make WordPress Security（安全）精选编辑评分6262 WordPress 组织持续加固 GitHub Actions 工作流并推进组织级安全扫描
WordPress Security 团队正持续加固组织内 GitHub Actions 工作流，以降低供应链攻击风险。团队已收紧权限、移除不安全行为、归档 20 个无维护仓库，并在 wordpress-develop 与 gutenberg 引入 Actionlint 和 Zizmor，后续计划在组织级统一执行扫描，并研究适用于所有仓库的安全政策。
推荐理由：WordPress 官方汇总了过去 18 个月的 GitHub Actions 工作流加固措施，并说明组织级扫描与安全政策的推进方向。
Gutenberg Times（区块编辑器）精选编辑评分7272 WordPress 7.0.1 修复注册垃圾邮件、wp_kses() CSS 损坏及后台设计问题
WordPress 7.0.1 作为 7.0 系列的维护更新发布，修复了 17 个核心 Trac 工单和 14 个 Gutenberg PR。该版本封堵开放注册页面滥发登录信息邮件的问题，修复 wp_kses 损坏有效 CSS 的缺陷，并纠正后台表单、图片编辑器及发布设置等界面问题。
推荐理由：这次维护更新集中修复注册垃圾邮件、CSS 损坏与后台界面问题，并为 PHP 8.5 和编辑器兼容性提供改进。
WP Tavern编辑评分3737 David Snead 谈 Secure Hosting Alliance 如何在主机行业建立信任与合作
David Snead 介绍 Secure Hosting Alliance 如何提升主机行业的道德与专业水平，并推动主机商恢复交流协作。Internet Infrastructure Forum 正构建实时情报共享和滥用报告框架，目标是让注册商、主机服务商与 DNS 服务商更快发现并阻止攻击。相关方案还关注小型主机商的安全压力，以及跨境共享法律与技术信息的挑战。
Yoast 官方博客编辑评分2323 如何更新旧网站并刷新其 SEO
Yoast 建议先规划域名、URL 结构、主机等重大变更，再更新 CMS、插件和主题，并检查数据隐私与索引设置。随后应刷新关键词研究和内容，评估移动端适配、core web vitals 与无障碍体验，同时使用 Yoast SEO 插件简化旧网站更新并维护 SEO 表现。
WordPress大学编辑评分5555 WordPress 如何安全移除 Feed 中的 wellformedweb.org/CommentAPI 恶意网址
WordPress Feed 输出中的 wellformedweb.org/CommentAPI 指向已被非法业务公司收购的过期域名，文章建议安装 Remove WFW CommentAPI Link 插件，或在主题的 functions.php 中添加代码移除相关输出。
Make WordPress Plugins（插件开发）编辑评分4242 WordPress.org Plugins Team 招募贡献者与赞助机构
WordPress.org Plugins Team 面向个人志愿者和机构招募插件审核贡献者及赞助方，以应对每周新插件提交量增长。2026 年 3 月每周提交量已超过 500 个，志愿者需具备信任、技术知识与持续投入时间，培训期约两个月。首轮申请截止日为 2026 年 3 月 27 日，机构也可安排员工贡献时间或支持现有志愿者。
WP智库编辑评分3434 WordPress 如何限制 REST API 匿名访问？
WordPress 可通过 rest_authentication_errors 钩子要求所有 REST API 请求完成身份验证，未登录访客将收到 401 Unauthorized。也可借助 rest_endpoints 过滤器移除 /users 等敏感端点，或使用免费的 Disable REST API、Wordfence Security / iThemes Security 控制匿名访问。
WP智库编辑评分2121 WooCommerce 收款网关终极指南：从选型到自定义开发与对接实战
WooCommerce 收款网关指南梳理跨境与国内商城的选型，并详解基于 WC_Payment_Gateway 的自定义开发。开发者可借助 Omnipay 对接支付宝与微信支付，通过签名 Notify 更新订单为 Processing（处理中）。接入前应在 Sandbox Config 中测试断网、关页面和重复并发支付等场景。
WP智库编辑评分4040 WordPress 角色与权限（Roles & Capabilities）终极开发指南：从入门到精通
WordPress 采用基于能力的访问控制（CBAC），角色是权限的命名集合，开发者可通过 add_role、remove_role、add_cap 和 remove_cap 管理权限，并用 current_user_can 按能力名进行判定。
WP Kube编辑评分2929 2026 年 10 款最佳 WordPress 安全插件对比评测：多数提供免费版
WP Kube 对比了 10 款 WordPress 安全插件，覆盖防火墙、恶意软件扫描、漏洞检测、活动日志和暴力破解防护等方向。
WordPress大学编辑评分2828 使用 Captcha for WordPress 拦截垃圾邮件、评论与表单提交
Captcha for WordPress 通过自定义规则、验证码和基于 IP 的保护设置拦截垃圾邮件、评论及机器人表单提交。插件提供算术、蜜罐和图像验证码，并支持 IP 禁止、关键词与邮箱域名限制、URL 过滤、提交频率和多次提交保护。
Make WordPress Security（安全）精选编辑评分6565 WordPress 提议明确 MySQL 与 MariaDB 数据库支持政策
WordPress 社区提议明确核心对 MySQL 与 MariaDB 的支持政策，仅推荐 LTS 版本，并将创新版本和 rolling GA 版本排除在生产环境推荐范围之外。文中援引截至 June 18, 2025 的数据称，超过 37% 的 WordPress 站点仍在使用已停止维护和安全更新的 EOL 数据库版本。
推荐理由：文章用当前使用数据梳理 MySQL 与 MariaDB 的发布模型，并提出只推荐 LTS 版本、区分生产环境支持范围的方案。
Make WordPress Security（安全）精选编辑评分6565 WordPress 6.8 Beta 1 发布，包含 370 多项增强和 520 项缺陷修复
WordPress 6.8 Beta 1 作为 2025 年首个主要版本周期的首个 Beta 发布，包含 370 多项增强和 520 项缺陷修复。官方在 Beta 1 至最终 RC 期间对有效安全漏洞提供双倍赏金，Release Candidate 3 计划于 April 8 发布。
推荐理由：WordPress 6.8 Beta 1 汇总了 370 多项增强和 520 项缺陷修复，并通过双倍赏金征集新代码中的有效漏洞。
Torque编辑评分2828 WordPress 文件权限：设置方法与最佳实践全解
WordPress 文件权限决定核心、插件和脚本能否安全修改站点文件，也关系到黑客入侵、恶意软件、数据泄露与站点接管风险。权限过宽或过严都可能破坏网站；管理员应理解 User、Group、Others 权限组及符号和数字表示法，并妥善处理共享主机中的只读文件。
Make WordPress Security（安全）编辑评分4343 WordPress 6.6 即将发布，开放安全漏洞赏金征集
WordPress 6.6 Beta 1 于 June 4th, 2024 发布后，欢迎安全研究人员通过 HackerOne 提交新代码中的有效漏洞。WordPress 6.6 Beta 1 至最终 RC 发布前发现的符合条件安全问题，可获得双倍赏金。