Eklenti Klasörleri Boş Bir index.php Dosyası İçermeli mi?

WordPress'in kendisi, wp-contentklasörde, buna benzeyen boş bir PHP dosyası içerir.

<?php
// Silence is golden.
?>

Eklentiler, milletlerin bir dizinin içeriğini görüntülemesini durdurmak için de bunun gibi boş bir dosya içermeli mi? Temalardaki includesdizinler gibi ek klasörler ne olacak ?

Hayır, yapmamalılar. Bir eklentinin sadece dizin yapısını görebildiği için güvenlik açıkları varsa, bozuktur. Bu hatalar düzeltilmelidir.
Belirsizlik yoluyla güvenlik kendi başına bir hatadır.

Dizin taramasına izin vermek veya yasaklamak site sahibine bağlıdır.

İkinci bir sorun performanstır: WordPress, eklenti üstbilgilerini bulmak için eklentinin kök dizinindeki tüm PHP dosyalarını tarar . Bu, aynı dizinde birden çok eklentiye sahip olmanızı sağlar, örn /wp-content/plugins/wpse-examples/.

Ayrıca, bu dizindeki kullanılmayan PHP dosyalarının WordPress eklentileri ararken zaman ve belleği boşa harcadığı anlamına gelir. Bir dosya çok fazla zarar vermez, ancak bunun ortak bir uygulama olduğunu düşünün. Bir kurguyu düzeltmek için gerçek bir sorun yaratıyorsunuz.

EVET diyeceğim. Güvenlik, komşularınızdan daha belirsiz olursanız işe yarar :) (şaka ama bununla ilgili bir gerçek var).

Gerçek şu ki, botlar / tarayıcılar artık wordpress.org'dan eklenti listelerini derliyor ve bilinen istismarlar için parmak izi sürümleri ve bilgileri referans için bir veritabanında tutarak eklenti url'lerini doğrudan tarar.

Yani hangisine sahip olmayı tercih edersiniz, bir bot kurulumunuzda bilgi toplayamaz veya güvenli olduğundan emin olmak için eklenti yazarına bırakmaz. Her ikisine de.

ps. Bir yan notta, geçen yıl wordpress.org eklentilerinden bildirilen 186 istismar vardı (* bildirildi ..).

WordPress çekirdeği yaptığı için, eklentilerin uygun olması mantıklıdır. Tüm bunlar çeşitli sunucu tarafı ayarlarıyla korunabilirken, varsayılana sahip olmak zarar vermez (muhtemelen neden WordPress çekirdeği bunu yapar).

Fuxia'nın belirttiği gibi .php, WordPress'in eklentileri taramak için ek bir dosyaya sahip olmasında bir performans dezavantajı var . Bir index.htmlmuhtemelen daha iyi bir seçenek olacaktır. Tabii ki, en iyi seçenek web sunucusunda dizin taramasını yasaklamak olacaktır.

Ayrıca, muğlaklık yoluyla güvenlik iyi değildir.