WordPress.org 为插件和主题发布引入自动安全审查

我们将针对每个插件版本推出自动化安全审查。在通过 WordPress.org 更新 API 分发某个版本之前，系统会分析其是否存在安全问题；如果认为某个版本可能带来安全风险（无论是故意还是无意），就会阻止其分发。

本文将介绍这一流程如何运作，以及版本被阻止时对插件作者有何要求。

我们为何要这样做

新插件在进入目录之前会接受审查，但此后更新会持续发布。插件可能目前是安全的，却在未来的版本中引入漏洞或恶意代码。此前，从版本提交到该版本送达数百万个网站之间，没有统一的审查环节。

7 月 28 日，一个拥有约 20,000 个活跃安装量的插件版本中被提交了后门。自动化审查检测到了后门，并给出了高安全评分；由于该版本仍处于冷却期内，因此这个受入侵的版本从未通过 WordPress.org 更新 API 分发。在 Wordfence 就此次更新通知插件团队后 26 分钟，该插件便被关闭了下载。

该事件也清楚表明了缺失的一环：高风险结果应当自动停止分发，而不应依赖插件团队中有人恰好能够处理。这正是我们现在要推出的机制。

运作方式

自 6 月 5 日起，每个插件和主题版本在通过 WordPress.org 更新 API 分发之前，都要经过冷却期，其中包括从 WordPress 仪表板进行的一键更新。目前冷却期为 6 小时。

在冷却期内，WordPress.org 会结合多个 AI 模型和 Jetpack Scan 分析每个版本中的变更。各项结果会经过交叉核对，并汇总为带有安全评分的审查结论。评分越高，潜在风险就越大。交叉核对多种工具有助于保持较高的准确率并减少误报，但无法将误报降至零。

风险评分较高的版本会在安全审查完成后立即被自动阻止，所有插件提交者都会收到一封附有审查结论的电子邮件。低于该阈值的版本则继续按照正常流程处理。

高评分并不意味着存在恶意意图。意外引入的漏洞，其评分可能与故意植入的恶意软件一样高。评分衡量的是风险，而非意图。

目前，只有版本被阻止时才会发送电子邮件。没有收到电子邮件的作者无需采取任何措施。

版本被阻止时

高风险评分意味着，在相关问题得到解决之前，该版本不会通过更新 API 分发。

解除版本阻止的最快方法是：

查看报告的审查结论。其中说明了触发阻止的原因。
修复问题并发布新版本。当新版本的评分低于阻止阈值时，它将继续按照正常的冷却流程处理。
如果某项审查结论看起来不正确，作者可以联系插件团队。
请理解，该团队需要处理大量审查，因此发布已修复的版本几乎总是比等待人工审查申诉来得更快。

反馈

随着我们收集更多数据并改进检查机制，这一流程将不断演进。插件作者对误报提供反馈，是帮助我们改进系统最有效的方式。

文章由 @davidperez 撰写，由 @frantorres、@lucasbustamante、@obenland 审阅。