正如您正确发现的，wordpress不使用字面nonce，而是一个足够好的近似值。
nonce的字面定义的实现问题是，您需要跟踪生成的所有数字，尤其是如果它们确实是随机的。这意味着将生成的nonce存储在DB中，这意味着每次管理页面刷新时都会有DB写操作，这可能会使服务器紧张。
Wordpress折衷方案是使用秘密哈希键和用户敏感上下文，将nonce生成为当天的哈希值。这样一来，可能的攻击时间限制在24小时内，很难猜出时间。如果您的站点位于HTTP上，并且您在公共WiFi网络上进行任何管理，那么仍然存在截获问题，但在这种情况下，您的整个身份验证都会暴露，而nonce暴露是您面临的最小问题。
