WordPress停止允许用户枚举

多年来，在新安装的WordPress上，可以枚举用户ID和用户帐户的用户名。我通常自己解决这个问题函数.php，但是今天当我在考虑新的WP版本时，我不禁想知道为什么这个bug仍然存在。它已经成为Metasploit的一部分很多年了，需要5个LOC才能修复。 WordPress仍然容易受到这种攻击有什么原因吗？它可以很快被修复，这样我就可以停止重新修改我的主题每次得到更新？用户枚举不被视为安全漏洞。请阅读以下内容：https://make.wordpress.org/core/handbook/testing/reporting security漏洞/#为什么-同意披露用户名或用户名不安全问题。仅供参考，我们的团队改变了我们的立场，在这一段时间，仍在努力更新文件和产品。如果您引用我们的研究，我会提到这一点。最好将精力花在通过强密码和双因素身份验证来保护身份验证过程上。马克。谢谢你和我讨论这个话题。我知道用户名是用来共享的，电子邮件地址通常不是秘密的（就个人而言）。然而，我仍然认为互联网上的任何人都可以获得一个干净的.csv用户和任何WordPress网站的用户ID是错误的。我还在寻找WP团队在这方面的理由。我知道你不认为这是一个武林，但我不明白为什么。考虑到需要不到10行代码来修复，我觉得\"我们认为没有必要\"是一种逃避。此外，我认为仅仅通过在网页上显示用户名，我们就违反了GDPR。假设我经营一个成人娱乐网站。任何枚举我的用户列表的人都会得到关于我用户的非常私人的信息（即：他们首先使用我的网站的事实）。显然，贡献者有点不同，因为他们知道这些信息是共享的。但是如果谷歌给了你一个所有账户持有人用户名的.csv文件，仅仅因为你有点乱翻怎么办。你不觉得他们会认为这是个弱点吗？此外，你实际上是在向黑客提供实施暴力攻击所需的工具。强密码是很好的，但是如果你手里有一个用户名列表，暴力强迫就成了一个笑话。外面有成百上千的单词表。如果我们禁用枚举，攻击者现在不仅要猜密码，还要猜用户名。编写10个LOC来加固数百万个网站的工作似乎微不足道。我只是很难理解为什么WP要为毫无回报和零开发成本而带来如此大的风险。也许你可以详细说明一下？可能需要10多行代码，因为一般的原则是泄漏用户名是可以的。因此，考虑超过50000个插件和000个主题，可能包括泄漏和需要修复。如果哲学发生了变化，那么研究人员就可以在大量的代码上打开CVEs，因为与核心相比，它现在被认为是\"不安全的\"。我可以理解不破坏现有的应用程序。对我来说，这似乎是唯一合乎逻辑的原因。但是如果安全性仅仅是一种\"感知\"，那么为什么在服务器上禁用用户枚举呢wordpress.org？我只是试图列举它的用户，但失败了。可能是因为他们添加了与我在WordPress中添加的类似的代码。奇怪。为什么我不能列举你的用户？我认为这是一个简单，无辜，无伤大雅的任务，服务好的目的！不管用户或开发人员认为这个\"功能\"有什么好处。黑客知道这是一个弱点，在野外就是这样使用的。如果WordPress开发人员认为它不重要，如果黑客在野外使用它，这并不重要。他们不在乎是否有脑血管病。如果他们能用curl和bash转储一个用户列表，那就是他们要做的。我将优雅地关闭此请求并继续修改我的函数.php我一直都是这样，但我不同意这种\"功能性\"的说法。在一个博客的生命中，可能有5次用户会按照预期的方式使用这个功能。相比之下，可以保证一个博客会被一些curl+bash脚本或Kali+WPScan成千上万次地被成百上千的坏演员击中。对我来说，这不值得冒这个风险。 - 这个答复是由HonestRepairAdmin在2年6个月前修改的。 - 这个答复是由HonestRepairAdmin在2年6个月前修改的。 - 这个答复是由HonestRepairAdmin在2年前修改的，6个月前由HonestRepairAdmin发布。但是如果安全性仅仅是一种\"感知\"，那么为什么用户枚举在wordpress.org？因为我们在这个网站上有1000多万个帐户，而且试图检索这些帐户基本上都失败了网站。但我们并没有将其限制在任何地方，特别是在这些支持论坛上。在一个博客的生命周期中，可能有5次用户会按预期的方式使用此功能。新编辑会使用它。当允许您通过restapi更改文章的作者时，它会加载一个用户列表

WordPress停止允许用户枚举

admin_action_{$_REQUEST[‘action’]}

admin_footer-{$GLOBALS[‘hook_suffix’]}

customize_save_{$this->id_data[‘base’]}

customize_value_{$this->id_data[‘base’]}

get_comment_author_url

network_admin_edit_{$_GET[‘action’]}

network_sites_updated_message_{$_GET[‘updated’]}

pre_wp_is_site_initialized

WordPress 的SEO 教学：如何在网站中加入关键字（Meta Keywords）与Meta 描述（Meta Description）？

谷歌的SEO是什么