固定自定義WordPress API端點：11個基本技巧

如果您使用WordPress REST API，則確保端點是防止它們成為攻擊向量的關鍵步驟。在本指南中，我們正在探索這樣做的最佳實踐。

在下面，我們正在討論如何確保API流量安全，設置正確的權限，保護和清潔傳輸數據，並保持潛在問題之外。

tl; dr for WordPress API端點

壓了時間？這是主要的收穫。

WordPress REST API允許強大的集成和靈活性，但是如果不安全，它的端點也可以打開攻擊的門。為了確保您的網站安全，重要的是在API使用的各個方面實施分層安全：

• 將WordPress，其主題和插件保持最新，以加以修補已知漏洞。

• 使用SSL/HTTPS保護所有API流量，以防止攔截和篡改。

• 優先考慮站點速度以避免超時，處理API迅速調用，並在拒絕服務攻擊時保持網站工作。

• 使用自定義的用戶角色和權限將特權保持在基本最低限度。

• 驗證和消毒數據以防止惡意標記。

• 使用身份驗證和授權來控制API端點訪問。

• 增加速率限制以防禦蠻力，刮擦和DOS攻擊。

• 使用安全標頭，日誌記錄和IP白色列入在需要的情況下加強您的設置。

了解WordPress REST API

在研究自定義API端點的安全實踐之前，重要的是要了解它們是什麼以及它們如何適合WordPress生態系統。

WordPress REST API是什麼？

讓我們從頂部開始。 API代表“應用程序編程接口”。這是一塊軟件，允許兩個不同的程序相互通信並交換數據。

WordPress有許多API，但最強大和最重要的是REST API。自WordPress 4.7以來，這一直是核心功能。

REST代表“代表性的轉移”，並描述了創建具有多種好處的API的標準。其中之一是，Restful API可以更輕鬆地互相交流。

WordPress REST API還使用JSON（JavaScript對象符號）數據格式，該格式易於讀寫和與許多編程語言兼容。

它提供了一種使用HTTP請求（例如get（檢索），post（create），put/patch（update）和delete（remove）等HTTP請求與WordPress進行交互的標準化方法。在他們的幫助下，可以從外部WordPress操縱帖子，頁面，用戶和評論以及自定義內容類型等核心數據類型，而無需先登錄網站。

所有這些都可以通過各種外部軟件，工具和應用程序整合和連接WordPress。例如，REST API是無頭WordPress設置或將您的網站與移動應用集成的基礎工具。 WordPress塊編輯器（又名Gutenberg）也使用REST API工作。

WordPress中的API端點是什麼？

端點是代表WordPress網站中的對像或資源的特定URL。它可能是帖子，用戶或自定義設置。當另一個軟件向該URL發送請求時，可能會導致WordPress提供或修改該端點處的數據。

WordPress具有默認數據類型（例如帖子，評論，媒體和用戶）的內置端點。您還可以創建定制功能的自定義端點，訪問自定義數據，限制數據曝光或簡化性能。這很有用，例如：

• 允許外部應用程序進行更改，例如發布或檢索帖子並更新用戶配置文件。

• 將WordPress連接到第三方工具，應用程序和服務（例如CRM，電子郵件營銷提供商）。

• 為動態網站功能（例如實時搜索）啟用實時數據獲取。

• 構建自定義管理面板或分析儀表板。

為什麼API端點安全很重要？

由於API可以直接訪問網站數據，因此它也帶來了安全風險。每個API端點都是WordPress站點的潛在入口點。如果沒有適當的安全措施，它們就可以被利用並造成損壞，例如：

• 揭示敏感信息

• 啟用蠻力或註射攻擊

• 公開管理功能

• 拒絕服務（DOS）攻擊的開放式走廊

• 使惡意軟件注射成為可能

例如，當您訪問https://yoursite.com/wp-json/wp/v2/users/（默認情況下，將yoursite.com替換為yoursite.com）時，您將看到網站上所有可用用戶的列表。

這使黑客更容易將他們的方式強加入您的網站，因為它為它們提供了登錄所需的一半憑證的一半。這就是為什麼了解如何確保API端點以確保WordPress網站安全的原因很重要。

但是這樣做並不是一個修復程序。它需要組合策略，我們將現在討論。

1。定期應用軟件更新

保持WordPress Core，插件和主題更新已適用已知安全漏洞的最新補丁。您可以手動應用它們或在WordPress中使用自動更新功能。

默認情況下，次要核心更新已經自動安裝，因為它們通常專門發布以解決安全問題。應用主要更新時，請務必先備份您的網站並在登台網站上進行測試。

此外，不要忘記查看並更新處理API路由的任何自定義插件或代碼。

2。使用SSL/HTTPS

在您的網站上實施SSL確保所有API請求和響應都在運輸中加密。這可以保護敏感數據（例如身份驗證令牌或用戶信息）免受中間人攻擊的攔截或操縱。

要在HTTPS上運行您的網站，您需要SSL/TLS證書。如果您的網站還沒有，則通常最容易通過您的託管提供商進行設置。之後，您仍然需要為所有流量和API調用執行HTTPS使用情況。

3。投資網站性能

就像您網站的所有其他部分一樣，為了使RETAP API完成工作，它需要良好的網站性能。如果您的網站由於缺乏服務器資源而無法容納API請求，則依賴於它們的應用程序和集成可以體驗緩慢的響應和超時。

此外，在旨在使其超載的API端點攻擊時，速度優化的網站有更好的機會對訪問者的反應和修復。

有很多方法可以改善網站性能，例如投資質量託管和優化您的圖像。加快WordPress網站的一種簡單方法是使用WP Rocket等性能插件。它包含許多提高站點速度的功能，例如：

• 緩存，包括單獨的移動緩存

• 圖像的懶惰加載，包括CSS背景，視頻和iframe

• 推遲渲染阻滯資源

• 預加載緩存，鏈接，外部文件和字體

• 自我託管的Google字體

• 數據庫優化

• 輕鬆連接到CDN的選項，包括RocketCDN

除此之外，WP Rocket還在背景中實現了額外的性能改進，例如GZIP壓縮，縮小CSS和JavaScript文件以及折疊上方的圖像優化（以改善最大的內容塗料）。

結果，您的網站一旦激活插件並立即變得更快，就可以實現80％的性能最佳實踐。

4。設置自定義用戶角色

WordPress的用戶角色具有定義功能作為默認功能。

由於API請求使用您網站上用戶的身份驗證憑證，因此設置正確的訪問級別還確定他們可以使用哪些端點以及可以執行的操作：

• 管理員：可以在所有API端點上執行所有CRUD（創建，讀取，更新，刪除）操作。

• 編輯：具有與帖子，頁面和媒體相關的大多數API端點，並具有創建，編輯和刪除內容的權限。

• 作者：包括對端點的訪問，以創建和更新分配給用戶的帖子。

• 貢獻者：訪問API端點的訪問僅限於他們自己的草稿，而無需發布它們。

• 訂戶：訂戶通常只能檢索自己的用戶配置文件信息。

對於API端點安全性，請避免使用高特你角色（例如，管理員），如果沒有必要的任務。這減少了潛在的破壞可能的影響。

更好的是，創建專門的角色，只有您要實現的目標所需的權限。這也稱為至少特權的原則。

您可以使用add_role（）和add_cap（）函數來定義自定義角色和管理功能以及remove_cap（）從現有用戶角色中奪走特權。或者，使用用戶角色編輯器插件。

也可以使用禁用WP REST API或通過functions.php等插件來完全禁用非授權用戶的REST API。

5。實施輸入驗證和消毒

輸入驗證和數據消毒使攻擊者無法通過API端點提交有害的SQL命令或腳本。

驗證意味著檢查傳入數據以確保其匹配預期格式，類型和允許的值。另一方面，消毒刪除了請求中嵌入的有害代碼。兩者對於用戶生成的內容尤其重要。

WordPress為此目的提供了幾種本機功能，您可以在開發人員資源中找到這些功能：

• WordPress開發人員資源：數據驗證

• WordPress開發人員資源：清理數據

6。利用準備好的語句進行數據庫查詢

準備的語句將用戶輸入和數據庫命令分開。這樣，它們通過中和惡意查詢結構來幫助防止SQL注射攻擊。

在WordPress中，您可以在構建SQL查詢時使用$ WPDB-> Prepar（）自動逃脫用戶輸入以及包括佔位符（％s，％d等），而不是將原始值直接插入查詢中。

7.確保強大的身份驗證和授權實踐

身份驗證確保從API端點請求數據的用戶或實體是他們聲稱是誰。另一方面，授權控制給定用戶可以訪問和可以做什麼。我們早些時候談論用戶角色時已經介紹了這一點。

默認情況下，WordPress REST API通過Cookie和Nonces提供身份驗證，這些cookie和Nonces是獨特的，短暫的令牌。您也可以通過在用戶配置文件中設置應用程序密碼來使用基本身份驗證。

OAuth和JSON Web令牌也可通過WP REST API - OAUTH 1.0A服務器和WP REST API的JWT身份驗證等插件獲得。

在以下情況下使用不同類型的身份驗證：

• Cookies + Nonces：在瀏覽器中進行API調用的主題/插件的理想選擇。

• 應用程序密碼（基本驗證）：用於外部腳本，工具或服務。它易於設置，並且非常適合服務器到服務器通信。

• OAuth：最適合需要用戶授予訪問的第三方應用程序。

• JWT（JSON Web令牌）：適用於無頭或脫鉤的前端（例如，React或移動應用程序）和API端點，流量較高。

8。僱用費率限制和限制

利率限制使您可以設置用戶或IP在給定時間段中可以提出多少個請求的限制。它有助於防禦蠻力攻擊，垃圾郵件，自動化濫用，旨在使系統超負荷過載。

限制速率對於公共或未經身份驗證的終點尤為重要。同時，它並不是那麼限制，以至於它在攻擊時會阻止所有合法的請求和流量。

限制可以通過客戶端或位置放置，也可以放在服務器本身上。您可以使用硬限制，該限制禁止任何請求直到提升，也可以在一個時間段內限制請求的數量。最後，您還可以為不同的用戶組設置不同的限制。

WP教程為WordPress API提供了很好的指南。

9。使用安全標頭

安全標頭通過指示瀏覽器如何處理網站的內容和連接來提供額外的保護層。當您的API與前端應用程序或外部服務互動時，這些標題會幫助減輕常見的Web漏洞。

要實施的重要安全標頭是：

• 內容 - 安全性 - 策略：對照腳本可以在API連接的前端運行。

• X-content-type-options：將其設置為nosniff，以防止瀏覽器將文件解釋為不同的MIME類型。

• X-Frame-Options：使用Deny或Sameorigin可以通過禁止您的網站嵌入iframe中來防止點擊夾克。

• 嚴格的傳輸安全：對將來的請求執行HTTP。

可以通過header（）函數，.htaccess（例如.htaccess）或諸如HeaderS Security Advanced等安全插件（例如安全插件）添加安全標頭。了解有關安全標頭的更多信息。

10。允許清單IP地址

控制訪問敏感或管理端點的另一種方法是將其限制在特定的預定義的IP地址或範圍內。這是針對未知來源未經授權的請求的簡單但有效的障礙。

當然，先決條件是您知道要允許訪問API端點的設備和程序的IP地址，並且它們保持靜態。您可以通過functions.php和一些安全插件在服務器級別（例如.htaccess，nginx配置）配置允許清單。

11。利用記錄和監視

最後，記錄API請求，響應和用戶活動是保護WordPress API端點的另一個好工具。它使您可以識別弱點，監視請求模式，發現錯誤並查明安全漏洞的來源。

隨著時間的流逝，這有助於增強您的安全性。您可以使用REST API日誌，服務器訪問日誌或自定義日誌記錄功能之類的插件。

立即保護您的自定義WordPress API端點

WordPress REST API及其終點功能強大，但如果沒有適當的固定，可能會帶來嚴重的風險。使它們安全使用需要不同的層和多管齊下的方法。但是，正如您在上面看到的那樣，它相對簡單。

您不應該忽略的一個方面是站點性能。精選的站點可以通過API更快地傳遞數據，並且在拒絕服務攻擊期間對故障排除的響應更大的機會。為了簡單且用戶友好的方式來加快您的網站，WP Rocket！