wordpresswp-json链接速查手册

WordPress wp-json链接安全防护全攻略：怎么选防护方案才能避开黑客攻击

备案流程一头雾水，网站上线后却遇到 wp-json 被恶意扫描、API 被入侵、数据泄露等问题，很多开发者和站长在搭建 WordPress 网站时，常常忽略了 wp-json 这个接口的安全性。作为从业十年的网站安全专家，我见过太多因为 wp-json 配置不当导致的网站被黑案例。本文从漏洞原理、实际威胁、防护方案和修复工具四个角度，帮你彻底解决【怎么选】WordPress wp-json 防护方案的难题，避免网站被黑风险。

威胁场景：wp-json 被黑客扫描是常见攻击入口

WordPress 的 wp-json 是一个 REST API 接口，它允许通过 JSON 格式与 WordPress 服务器进行通信，实现前后端分离、小程序对接、插件功能调用等。但是，这个接口也成了黑客攻击的主要目标。

常见的攻击手段包括：

  • 枚举 wp-json 路径：黑客通过扫描网站根目录下 /wp-json/ 来确认 WordPress 版本，进一步判断是否存在已知漏洞。
  • 暴力破解 API 调用：攻击者通过调用 wp-json 接口获取用户数据、文章内容、插件信息，甚至直接进行数据篡改。
  • 恶意利用插件或主题漏洞：部分插件或主题如果使用了 wp-json 接口但没有做好权限控制，黑客就能通过该接口进行越权操作。

这类攻击手段在 WordPress 长期运行后尤为常见，尤其是在没有做访问限制、没有开启认证机制的网站上。

漏洞原理：wp-json 接口的默认开放性带来风险

默认情况下，WordPress 的 wp-json 接口是公开可访问的，不需要任何身份验证。也就是说，只要知道网站的域名，黑客就可以直接访问 /wp-json/wp/v2/posts 来查看所有文章内容，或者访问 /wp-json/wp/v2/users 来获取用户信息。

以下是一个简单的 wp-json 接口调用示例：

curl https://example.com/wp-json/wp/v2/posts

这个请求会返回网站上所有公开的文章列表，包含标题、内容、作者等信息。对于一个内容型网站来说，这可能并不会造成太大问题。但如果网站上有用户登录功能，比如博客、会员系统、商城等，这个接口就非常危险了。

攻击者可能通过调用 /wp-json/jwt-auth/v1/token 接口尝试获取 JWT 令牌，进而登录网站后台，执行恶意操作。

防护方案：怎么选合适的安全配置方式

为了防止 wp-json 被滥用，我们需要对 wp-json 接口进行访问控制、身份验证、接口限制等防护措施。以下是几种常见且有效的防护方式：

1. 禁用 wp-json 接口（适合非 API 网站）

如果你的网站不需要调用 wp-json 接口（比如普通企业官网），最简单的办法是完全禁用 wp-json。这样可以彻底杜绝黑客扫描接口的可能。

禁用方式是通过 WordPress 的 functions.php 文件添加以下代码：

add_filter('json_api_enabled', '__return_false');

如果你使用的是 WordPress 5.5+ 版本，也可以通过修改 wp-config.php 文件，添加以下代码：

define('WP_JSON_API', false);

这样就能彻底关闭 wp-json 接口，防止黑客利用。

2. 限制 wp-json 接口的访问权限（适合需要 API 的网站）

如果你的网站需要使用 wp-json 接口，比如开发小程序、调用数据接口等，就需要在访问控制上做更精细的设置。

方案一：通过 .htaccess 限制访问来源

你可以通过 .htaccess 文件来限制只有某些 IP 地址可以访问 wp-json 接口，或者限制只允许 POST 请求：

# 限制只有本服务器可以访问 wp-json 接口
<FilesMatch "wp-json">Order Deny,AllowDeny from allAllow from 127.0.0.1
</FilesMatch>

或者限制只允许 POST 请求：

<FilesMatch "wp-json">RewriteEngine OnRewriteCond %{REQUEST_METHOD} !POSTRewriteRule ^ - [F]
</FilesMatch>

方案二：使用插件限制 wp-json 接口权限

如果你不想手动配置代码，可以使用一些专门的 WordPress 安全插件，如：

  • Wordfence：提供 API 调用监控、限制访问等功能。
  • iThemes Security：支持 wp-json 接口的权限控制和访问限制。

这些插件通常有“限制 API 调用”或“限制 wp-json 接口访问”的选项，可以根据需要开启。

3. 为 wp-json 接口添加身份验证

对于需要开放 wp-json 接口的网站，建议为接口添加身份验证机制，比如使用 JWT（JSON Web Token）或 OAuth。

在 WordPress 中，你可以使用插件如 JWT Authentication for WP REST API 来实现 JWT 认证。使用该插件后，调用 wp-json 接口需要携带有效的 JWT Token。

示例调用方式：

curl -X POST https://example.com/wp-json/jwt-auth/v1/token -d "username=admin&password=123456"

返回的 Token 可以用在后续的 API 请求中，比如：

curl -H "Authorization: Bearer YOUR_JWT_TOKEN" https://example.com/wp-json/wp/v2/posts

这种方式可以有效防止未授权的用户访问敏感数据。

检测与修复：如何检查 wp-json 是否被攻击

即使你已经做了 wp-json 接口的防护，也建议定期检查接口是否被滥用。以下是几种常见的检测方法：

1. 使用 Google Search Console 检查异常访问

Google Search Console（GSC）是一个免费的网站分析工具，可以用于监控网站流量、索引状态以及异常访问。

在 GSC 中，你可以查看网站的“爬虫抓取”数据，观察是否有大量请求来自 /wp-json/ 接口。如果有异常访问频率，说明你的网站可能正在被扫描或攻击。

2. 使用 Web 应用防火墙（WAF）监控访问日志

使用 WAF 工具（如 Cloudflare、Wordfence、ModSecurity）可以监控 wp-json 接口的访问行为。你可以在 WAF 的日志中查找是否有异常 IP、高频访问等行为。

3. 手动检查服务器日志

如果你有服务器访问权限，可以检查 Apache 或 Nginx 的访问日志，查看是否有大量访问 /wp-json/ 接口的请求，尤其是来自异常 IP 的请求。

修复操作示例

如果你发现 wp-json 被频繁访问，可以立即执行以下修复操作：

  • 禁用 wp-json 接口，或者限制访问权限。
  • 安装 WAF 插件，阻断异常请求。
  • 配置防火墙，限制 wp-json 接口的访问频率。
  • 启用身份验证机制，避免未授权访问。

安全加固清单：wp-json 接口防护必做事项

为了确保你的 WordPress 网站的 wp-json 接口安全，以下是几个必须做到的安全加固事项：

1. 禁用或限制 wp-json 接口

根据网站是否需要 API 调用，选择禁用或限制接口访问权限。

2. 使用安全插件加强防护

安装 WordPress 安全插件，如 Wordfence、iThemes Security、WP Security 等，启用 API 调用监控、限制访问、黑名单 IP 等功能。

3. 启用身份验证机制

如果接口必须开放，建议启用 JWT、OAuth 等认证机制，防止未授权访问。

4. 定期更新 WordPress 核心、主题和插件

WordPress 本身以及插件、主题都会定期发布安全补丁，定期更新可以避免因已知漏洞导致的 wp-json 被攻击。

5. 配置服务器防火墙

使用 Nginx 或 Apache 的防火墙配置，限制 wp-json 接口的访问频率、来源 IP、请求类型等。

6. 使用 CDN 加固安全

使用 CDN（如 Cloudflare、CloudFront）可以为网站增加一层防护，阻止大部分 wp-json 被扫描的攻击行为。

7. 配置 WordPress 伪静态规则

在 .htaccess 文件中配置 wp-json 的访问限制，防止黑客利用接口获取敏感数据。

你的网站用的什么技术栈？评论区聊聊

在 WordPress 开发和部署过程中，wp-json 接口的安全性往往容易被忽视，但它是网站最容易被攻击的入口之一。通过合理的配置和防护措施，你可以大大降低网站被黑的风险。如果你的网站也使用了 wp-json 接口，欢迎在评论区留言，分享你的防护经验或者提出你的疑惑，我们一起交流学习。