ตามที่แนะนำในคำถามนี้ฉันกำลังเพิ่มหัวข้อนี้เป็นคำถามใหม่สำหรับการอภิปรายชุมชน / การลงคะแนนเกี่ยวกับแนวทางปฏิบัติที่ดีที่สุดสำหรับความปลอดภัยของปลั๊กอิน / ธีม

นี่คือรายการตรวจสอบเริ่มต้นตามรายการตรวจสอบความปลอดภัยของข้อมูล (รายการที่กำลังตรวจสอบความปลอดภัย) ที่ใช้สำหรับตรวจสอบธีม (หลักการไม่ควรต่างไปจากปลั๊กอินมากกว่าชุดรูปแบบ)

หากคุณต้องการตรวจสอบชุดรูปแบบที่มีหน้าการตั้งค่าชุดรูปแบบที่ปลอดภัยและเข้ารหัสอย่างแน่นหนาให้ตรวจสอบชุดรูปแบบนี้:
http://wordpress.org/extend/themes/coraline

ใช้ Nonces (เมื่อไม่ได้ใช้งาน API การตั้งค่า)

ปลั๊กอินและชุดรูปแบบควรให้การตรวจสอบ nonce หน้าการตั้งค่าอย่างชัดเจนถ้าไม่ได้ใช้การตั้งค่า API:

• WordPress Nonces (Codex)
• WordPress Nonces (ทำเครื่องหมาย Jaquith)
• การปรับปรุงความปลอดภัยในปลั๊กอิน WordPress โดยใช้ Nonces (Vladimir Prelovac)
• 5 เคล็ดลับสำหรับการใช้ AJAX ใน WordPress> 3. ใช้ค่า nonces และตรวจสอบการอนุญาต (Gary Cao)

ฆ่าเชื้อโรค, ตรวจสอบและหลบหนีข้อมูล

ฆ่าเชื้อทุกสิ่งที่สามารถเข้าและออกจาก (!) ฐานข้อมูลได้ทั้งด้านหน้าและด้านหลัง!

ปลั๊กอินและชุดรูปแบบควรทำการตรวจสอบข้อมูลที่เหมาะสม:

1. ตรวจสอบและฆ่าเชื้อข้อมูลที่ไม่น่าเชื่อถือทั้งหมดก่อนที่จะป้อนข้อมูลลงในฐานข้อมูล
2. หนีข้อมูลที่ไม่น่าเชื่อถือทั้งหมดก่อนที่จะถูกส่งออกในการตั้งค่าเขตข้อมูลแบบฟอร์ม

3. หลีกเลี่ยงข้อมูลที่ไม่น่าเชื่อถือทั้งหมดก่อนที่จะส่งออกในไฟล์เท็มเพลตธีม

   • การตรวจสอบข้อมูล (Codex)

ปลั๊กอินและชุดรูปแบบควรใช้esc_attr()สำหรับการป้อนข้อความและesc_html()หรือesc_textarea()สำหรับพื้นที่ข้อความ

นอกจากนี้ยังมีจาก WordPress API คือesc_url(), esc_url_raw(), และesc_js()wp_filter_kses()

ตัวอย่างที่ไม่ดี:

<?php $url = 'javascript:pwnd()'; ?>
<a href="<?php echo $url; ?>">anchor</a>

ตัวอย่างที่ดี:

<a href="<?php echo esc_url($url); ?>">anchor</a>

นี่คือวิดีโอยอดเยี่ยมของ Mark Jaquith ที่อธิบายการใช้งานฟังก์ชั่นการหลบหนี:

• ความปลอดภัยของธีมและปลั๊กอิน

ใช้ $ _GET / $ _POST / $ _REQUEST อย่างระมัดระวังเท่านั้นและเมื่อ API ที่ดีกว่าไม่พร้อมใช้งาน

ปลั๊กอินและชุดรูปแบบควรใช้การตั้งค่า API เพื่อรับและบันทึกข้อมูลอินพุตแบบฟอร์มแทนการใช้$_POSTและ$_REQUESTข้อมูลโดยตรง

ใช้ $wpdb->prepare

เมื่อสร้างคิวรีที่กำหนดเองผ่าน$wpdbวัตถุให้ใช้$wpdb->prepareเพื่อเติมตัวแทนที่มีค่าแทนการเขียนคิวรีที่มีข้อมูลผสมกับรหัส SQL เนื่องจากmysql_*ฟังก์ชันตระกูลได้สอนทุกคนอย่างผิด ๆ

ระวังฟังก์ชั่น PHP ที่อาจใช้เรียกใช้โค้ดที่เป็นอันตราย

เป็นการอ่านที่ดีสำหรับทุกคนที่เขียน PHP: ฟังก์ชั่น PHP ที่สามารถใช้ประโยชน์ได้ใน StackOverflow

ใช้Theme Modification API

ชุดรูปแบบควรใช้set_theme_mod()และฟังก์ชั่นที่เกี่ยวข้องไม่ใช่ชุดรูปแบบชื่อที่คิดค้นขึ้นเอง
theme_mod API เป็นเลเยอร์พิเศษสำหรับ API การตั้งค่า มันรับประกันชื่อที่ไม่ซ้ำกันดันตัวเลือกทั้งหมดเป็นหนึ่งอาร์เรย์และ - จากประสบการณ์ของฉัน - ง่ายต่อการจัดการ นอกจากนี้ยังมีตัวกรองมาตรฐานสำหรับปลั๊กอิน - ซึ่งดีสำหรับการทำงานร่วมกัน

หลีกเลี่ยงการเปิดใช้งาน register_globals

register_globals = onไม่ต้องพึ่งพา ธีม Proซึ่งลูกค้าที่ผ่านมาของฉันซื้อไม่ตรงนี้ ฉันสามารถแฮ็คไซต์ใด ๆ ที่ใช้ชุดรูปแบบนี้ใน 5 นาที ...
ThimbThumb ก็ทำเช่นนี้ด้วย (และยังทำเช่นนั้น)

อย่าสร้างไฟล์ที่มีสิทธิ์การเข้าถึงแบบกว้างโดยไม่จำเป็น

อย่าสร้างไฟล์ด้วยสิทธิ์การเข้าถึงที่มากเกินไป

ใช้ SSL หากมี

ชี้แชร์ของคุณบน Twitter / Facebook /ลิงก์ใด ๆไปยัง HTTPS URI หากมี ความปลอดภัยของผู้อ่านเป็นสิ่งสำคัญเช่นกัน

บันทึกข้อมูลในอาร์เรย์เดียว

ปลั๊กอินและธีมควรบันทึกตัวเลือกในอาร์เรย์เดียวแทนที่จะสร้างหลายตัวเลือกสำหรับหน้าการตั้งค่า การใช้ API การตั้งค่าจะจัดการสิ่งนี้

ตรวจสอบความสามารถที่เหมาะสมเมื่อเพิ่มและแสดงผลหน้าการตั้งค่า

ปลั๊กอินควรใช้ความสามารถที่เหมาะสม(เช่นmanage_options) สำหรับความสามารถในการเพิ่มหน้าการตั้งค่า

ชุดรูปแบบควรใช้edit_theme_optionsเป็นความสามารถที่เหมาะสมเพื่อเพิ่มหน้าการตั้งค่า

• บทบาทและความสามารถ (Codex)

ใช้บทช่วยสอนและข้อมูลล่าสุด

ปลั๊กอินและชุดรูปแบบควรใช้หน้าตัวเลือกและการตั้งค่าโดยเจตนาและไม่ต้องพึ่งพาบทแนะนำเว็บไซต์ที่คัดลอกและวางซึ่งล้าสมัยแล้วและไม่มีการรักษาความปลอดภัยข้อมูลที่เหมาะสมเช่นที่แสดงด้านล่าง

ตัวอย่างของสิ่งที่ไม่ควรทำ :

• วิธีสร้างหน้าตัวเลือกสำหรับธีม wordpress ของคุณ (1stwebdesigner.com)

• สร้างหน้าตัวเลือกชุดรูปแบบ WordPress สุดน่ากลัวตอนที่ 1 (wpshout.com)

ใช้การตั้งค่า API

ปลั๊กอินและชุดรูปแบบควรใช้การตั้งค่า API ซึ่งใช้งานง่ายกว่าปลอดภัยกว่าและดูแลหน้าการตั้งค่าจำนวนมากอย่างหนัก:

• API การตั้งค่า (Codex)

สำหรับบทแนะนำที่ดีเกี่ยวกับการใช้ API การตั้งค่าดู:

• การรวมการตั้งค่า API ใน WordPress Themes (Chip Bennett)
• การจัดการตัวเลือกปลั๊กอินใน WordPress ด้วย register_setting () (Ozh Richard)
• สอนการตั้งค่า API ของ WordPress (อ็อตโต)

สำหรับช่องทำเครื่องหมายและตัวเลือกที่เลือกปลั๊กอินและชุดรูปแบบควรใช้checked()และselected()ฟังก์ชั่นสำหรับการส่งออกchecked="checked"และselected="selected"ตามลำดับ

ฟังก์ชั่นคำนำหน้าและชื่อตัวแปร

ปลั๊กอินควรนำหน้าตัวเลือกทั้งหมดฟังก์ชั่นที่กำหนดเองตัวแปรที่กำหนดเองและค่าคงที่ที่กำหนดเองด้วยปลั๊กอิน

ชุดรูปแบบควรนำหน้าตัวเลือกทั้งหมดฟังก์ชั่นที่กำหนดเองตัวแปรที่กำหนดเองและค่าคงที่ที่กำหนดเองด้วย theme-slug

ใช้wp_safe_redirect ()แทนการเรียกส่วนหัวของ php () ฟังก์ชั่นโดยตรงเมื่อนำไปที่หน้าในโดเมนเดียวกัน

เพิ่มหน้าการตั้งค่าให้กับส่วนที่เหมาะสมของเมนูผู้ดูแลระบบ

ปลั๊กอินควรใช้add_options_page()ฟังก์ชั่นเพื่อเพิ่มหน้าการตั้งค่าปลั๊กอินในSettingsเมนูแทนที่จะใช้add_menu_page()เพื่อเพิ่มเมนูระดับบนสุด

ธีมควรใช้add_theme_page()ฟังก์ชั่นเพื่อเพิ่มหน้าการตั้งค่าธีมลงในAppearanceเมนูแทนที่จะใช้add_menu_page()เพื่อเพิ่มเมนูระดับบนสุด