Bu soruda önerildiği gibi , bu konuyu Eklenti / Tema güvenliği için en iyi uygulamalarla ilgili topluluk tartışma / oylama için yeni bir soru olarak ekliyorum.

İşte temaları gözden geçirmek için kullanılan mevcut (devam etmekte olan) ayarlarımı / veri güvenliği kontrol listemi temel alan başlangıç ​​kontrol listesi (ilkeler Eklentiler için Temalar için olduğundan farklı olmamalıdır).

Güvenli ve sağlam kodlanmış tema ayarları sayfası olan bir temayı incelemek istiyorsanız, şu temayı inceleyin:
http://wordpress.org/extend/themes/coraline

Nonces Kullan (Ayarlar API'sını kullanmadığınızda)

Eklentiler ve Temalar, Ayarlar API'sini kullanmıyorlarsa açıkça Ayarlar sayfasının bağımsız denetimini sağlamalıdır:

• WordPress Nonces (Kodeks)
• WordPress Nonces (Mark Jaquith)
• WordPress eklentilerinde Nonces (Vladimir Prelovac) kullanarak güvenliği artırmak
• WordPress'te AJAX kullanmak için 5 ipucu> 3. Eşsizleri kullanın ve izninizi kontrol edin (Gary Cao)

Verileri temizleyin, doğrulayın ve kaçın

Veritabanına hem ön hem de arka uçtan (!) Giren ve çıkan olabilecek her şeyi temizleyin!

Eklentiler ve Temalar uygun veri doğrulama işlemi yapmalıdır:

1. Veritabanına veri girmeden önce tüm güvenilmeyen verileri doğrulayın ve sterilize edin
2. Ayarlar form alanlarına gönderilmeden önce tüm güvenilmeyen verilerden kaçın

3. Tema şablon dosyalarında çıktı alınmadan önce tüm güvenilmeyen verilerden kaçış

   • Veri Doğrulama (Kodeks)

Eklentiler ve Temalar, esc_attr()metin girişleri ve / esc_html()veya esc_textarea()metin alanları için kullanılmalıdır.

Ayrıca WordPress API kullanılabilir dan esc_url(), esc_url_raw(), esc_js()ve wp_filter_kses().

Kötü örnek:

<?php $url = 'javascript:pwnd()'; ?>
<a href="<?php echo $url; ?>">anchor</a>

İyi örnek:

<a href="<?php echo esc_url($url); ?>">anchor</a>

İşte kaçan fonksiyonların kullanımını anlatan harika bir Jaquith videosu:

• Tema ve Eklenti Güvenliği

Yalnızca $ _GET / $ _POST / $ _REQUEST dikkatle ve daha iyi API'ler kullanılamadığında kullanın

Eklentiler ve Temalar almak ve form girdi verileri kaydetmek yerine güvenmek için Ayarlar API'sini kullanmalıdır $_POSTve $_REQUESTdoğrudan veri.

kullanım $wpdb->prepare

$wpdbNesne üzerinden özel sorgular oluştururken $wpdb->prepare, mysql_*aile işlevlerinin herkese yanlış öğrettiği gibi, sorguları SQL koduyla karışık verilerle yazmak yerine her zaman değerlerle doldurmak için kullanın .

Kötü niyetli kod çalıştırmak için kullanılabilecek PHP işlevlerine dikkat edin

PHP yazan herkes için iyi bir okuma: İstiflenebilir PHP fonksiyonları StackOverflow'ta.

Tema Değiştirme API'sini kullan

Temalar, kendi kendine icat edilmiş bir ad şemasını değil , set_theme_mod()ilgili işlevleri kullanmalıdır . Theme_mod API, API ayarları için özel bir katmandır; benzersiz isimleri garanti eder, tüm seçenekleri bir diziye iter ve deneyimlerime göre kullanımı çok daha kolaydır. Ayrıca, eklentiler için standartlaştırılmış filtreler sunar - birlikte çalışabilirlik için iyidir.

Etkinleştirmekten kaçının register_globals

Güvenme register_globals = on. Bir Pro Teması benim son müşteri satın aynen bunu yapar. Herhangi bir siteyi 5 dakika içinde bu temayı kullanarak hackleyebilirim ...
ThimbThumb da bunu yaptı (ve hala yapıyor mu?).

Gereksiz geniş erişim izinlerine sahip dosyalar oluşturmayın

Çok serbest erişim izinlerine sahip dosyalar oluşturmayın.

Mümkünse SSL kullanın

Senin Nokta Twitter / Facebook / şey üzerinde paylaş varsa HTTPS URI'siyle bağlantıları. Okuyucunuzun güvenliği de önemlidir.

Verileri tek dizide kaydet

Eklentiler ve Temalar, ayarlar sayfası için birden çok seçenek oluşturmak yerine seçenekleri tek bir dizide kaydetmelidir. Ayarlar API'sinin kullanımı bunu hallederdi.

Ayar sayfaları eklerken ve çıkarırken uygun yetenek olup olmadığını kontrol edin

Eklentiler , ayarlar sayfasını ekleyebilmek için uygun bir yetenek kullanmalıdır (örn. manage_options).

Temalar , ayarlar sayfasını eklemek için edit_theme_optionsuygun yeteneği kullanmalıdır .

• Roller ve Yetenekler (Kodeks)

Güncel öğreticiler ve bilgiler kullanın

Eklentiler ve Temalar hem Seçenekler ve Ayarlar sayfaları kasten ve uygulamalıdır değil itimat kopyalama ve yapıştırma modası geçmiş ve bu tür aşağıda listelenenler gibi uygun veri güvenliği, içermez yapacağız web öğreticiler.

Ne yapmama örnekleri :

• WordPress temanız için bir seçenekler sayfası nasıl oluşturulur (1stwebdesigner.com)

• Harika bir WordPress tema seçenekleri sayfa 1 bölümünü oluşturun (wpshout.com)

Ayarlar API'sini kullan

Eklentiler ve Temalar, kullanımı kolay, daha güvenli ve ayar sayfalarının çok çalışmasına dikkat eden Ayarlar API'sini kullanmalıdır:

• Ayarlar API'sı (Kodeks)

Ayarlar API'sini kullanma hakkında iyi öğreticiler için, bkz:

• Ayarlar API'sini WordPress Temalarına Dahil Etme (Chip Bennett)
• Register_setting () (Ozh Richard) ile WordPress'teki Eklenti Seçeneklerini Kullanma
• WordPress Ayarları API'sı Eğitimi (Otto)

Onay kutuları basıp seçenekleri için eklentiler ve temalar kullanmalıdır checked()ve selected()çıkışı için fonksiyonlar checked="checked"ve selected="selected"sırasıyla.

Önek fonksiyonu ve değişken isimleri

Eklentiler tüm seçenekleri, özel işlevleri, özel değişkenleri ve eklenti-slug ile özel sabitleri öneklemelidir.

Temalar, tüm seçenekleri, özel işlevleri, özel değişkenleri ve tema slug ile özel sabitleri ön eklemelidir.

Kullanın ) (wp_safe_redirect yerine aynı etki alanındaki bir sayfaya yönlendiren zaman doğrudan php'nin başlık () işlevini çağırma.

Yönetici sayfalarının uygun bölümlerine ayar sayfaları ekleyin

Eklentiler, üst düzey bir menü eklemek yerine add_options_page(), Eklenti Ayarları Sayfasını Settingsmenüye eklemek için bu işlevi kullanmalıdır add_menu_page().

Temalar, üst düzey bir menü eklemek yerine add_theme_page(), Tema Ayarları Sayfasını Appearancemenüye eklemek için bu işlevi kullanmalıdır add_menu_page().