WordPress“网站健康状况”信任它或我自己的安全建议?

时间:2020-07-12 作者:0xC0000022L

我正在使用WordPress托管一些网站。最近,它包含了一个称为站点健康状态的功能。这些信息在一定程度上是有价值的,但不知何故,它也让我感到不舒服,我无法让它显示出来;“绿色”;因为我认为没有问题

以下是;关键问题“;外观。

Relevant snippet from Site Health Status

以下是相关的文本摘录,因为搜索引擎不太擅长为截图中的文本编制索引:

1个关键问题

Background updates are not working as expected [安全]

后台更新确保WordPress可以在为当前使用的版本发布securityupdate时自动更新。

警告文件夹/vhosts/sitename 被检测为版本过低控制(.hg).文件夹/vhosts/sitename 确实处于版本控制之下,而实际的博客处于/vhosts/sitename/blog 这就是web服务器作为webroot的作用。然而/vhosts/sitename/wp-config.php 包含博客配置。As WordPress allows it to live outside of the webroot, that\'s what I opted for out of security reasons. 无论如何,从第一点(黄色)得出的结论应该是,任何人都无法收集版本控制系统的内容,因为它完全位于webroot之外。

第二点(红色)是关于FTP凭据的。这一次我觉得特别令人不安。我有现成的脚本,有2FA,并且所讨论的服务器只能通过SSH(和扩展SFTP)访问。WordPress不支持SFTP,我也不想启用它。事实上,webroot中的文件具有严格的文件模式,因此即使发生漏洞,也几乎无法完成。换句话说,我正在以手动触发的半自动方式更新WordPress。与我过去看到或管理过的启用FTP的WordPress的一些设置不同,我没有违反任何规定,我使用了所有可用的指标。所以对我来说,这是理想的设置。但有人决定将其归类为一个关键问题。

所以我的问题(实际上有两个):

有没有办法在将来忽略这两项内容the overall feature (or the visible widget) removed. 我只是想让这个功能有价值,就我而言,这意味着在没有任何问题的时候不要发出警报。

设置后


define(\'FS_METHOD\',\'direct\'); 在里面wp-config.php - 根据目前唯一答案的建议,消息已更改,但仍显示为关键问题

After setting FS_METHOD=direct

2 个回复
最合适的回答,由SO网友:paul b. 整理而成

您应该能够使用过滤器过滤掉一些测试site_status_tests

引用WordPress documentation:

用法:

add_filter(\'site_status_tests\', function (array $test_type) {
    unset($test_type[\'direct\'][\'theme_version\']); // remove warning about Twenty* themes
    unset($test_type[\'async\'][\'background_updates\']); // remove warning about Automatic background updates
    
    return $test_type;
}, 10, 1);
您可以从WP_Site_Health->get_tests() 中的方法class-wp-site-health.php 文件

SO网友:mozboz

我没有测试过这个,但是this post 建议在wp config中没有FS\\u方法设置。php导致第二次警告。要解决此问题,请将此行添加到wp-config.php:

define(\'FS_METHOD\',\'direct\');
对于版本控制消息,稍加研究发现,这个问题实际上描述得不好,因为实际结果是Wordpress不会自动将更新应用于其认为受版本控制的文件。看见https://github.com/WordPress/health-check/issues/323 .

有一个插件允许您在不禁用特定站点运行状况监视器警报的情况下关闭该警报,但它似乎还不支持版本控制消息。

https://wordpress.org/plugins/site-health-tool-manager/

相关推荐

security issue in wordpress?

我已在中安装wordpresswww.mysite.com/user 现在假设有人熟悉wordpress,他/她可以通过www.mysite.com/user/memberswww.mysite.com/user/groups 甚至他都能看到www.mysite.com/user 没有登录到我的网站。有什么方法可以防止这种情况发生吗。类似于如果他没有登录或任何类型的重定向到特定url,访问就会被拒绝。或者你没有权限访问/members/ 在此服务器上。因此,我面临着很多问题。我使用frisco作为budd