我同意威克的评论。如果我能上传文件，游戏结束。如果我不能上传到mu-plugins 我可能会上传并覆盖主题的functions.php 或核心文件。这些选项中的任何一个都比mu-plugin 文件将。
“还修改数据库”部分是无关紧要的，因为如果我可以上传文件，修改数据库是微不足道的。快跑吧wp_insert_user 或使用$wpdb 运行SQL直接更改数据库。
换句话说，如果我可以将文件上传到服务器上，我对服务器的控制已经比PHP能够处理的更多，比PHP能够设置障碍的控制也更多。上传到服务器的能力是一种非常严重的黑客行为。
我不知道激活插件既方便又安全。用户可以打开和关闭插件，开发人员可以使用激活和停用挂钩来运行专用代码。
