Như được đề xuất trong câu hỏi này , tôi đang thêm chủ đề này như một câu hỏi mới, để thảo luận / bỏ phiếu cộng đồng liên quan đến các thực tiễn tốt nhất cho bảo mật Plugin / Theme.

Dưới đây là danh sách kiểm tra bắt đầu, dựa trên danh sách kiểm tra bảo mật dữ liệu / cài đặt hiện tại (đang thực hiện) của tôi được sử dụng để xem xét Chủ đề (các nguyên tắc không khác nhau đối với các Plugin so với Chủ đề).

Nếu bạn muốn kiểm tra một chủ đề với trang cài đặt chủ đề an toàn và được mã hóa vững chắc, hãy xem chủ đề này:
http://wordpress.org/extend/theme/coraline

Sử dụng Nonces (khi không sử dụng API cài đặt)

Các plugin và Chủ đề nên cung cấp rõ ràng việc kiểm tra trang không cài đặt, nếu không sử dụng API Cài đặt:

• WordPress Nonces (Codex)
• WordPress Nonces (Mark Jaquith)
• Cải thiện bảo mật trong các plugin WordPress bằng cách sử dụng Nonces (Vladimir Prelovac)
• 5 mẹo sử dụng AJAX trong WordPress> 3. Sử dụng nonces và kiểm tra sự cho phép (Gary Cao)

Vệ sinh, xác nhận và thoát dữ liệu

Vệ sinh bất cứ thứ gì có thể vào và ra (!) Cơ sở dữ liệu cả mặt trước và mặt sau!

Plugin và Chủ đề phải thực hiện xác thực dữ liệu phù hợp:

1. Xác thực và vệ sinh tất cả dữ liệu không đáng tin cậy trước khi nhập dữ liệu vào cơ sở dữ liệu
2. Thoát tất cả dữ liệu không đáng tin cậy trước khi xuất ra trong các trường mẫu Cài đặt

3. Thoát tất cả dữ liệu không đáng tin cậy trước khi xuất ra trong tệp mẫu Theme

   • Xác thực dữ liệu (Codex)

Plugin và Chủ đề nên sử dụng esc_attr()cho kiểu nhập văn bản và esc_html()hoặc esc_textarea()cho vùng văn bản.

Cũng có sẵn từ WordPress API là esc_url(), esc_url_raw(), esc_js()và wp_filter_kses().

Ví dụ xấu:

<?php $url = 'javascript:pwnd()'; ?>
<a href="<?php echo $url; ?>">anchor</a>

Ví dụ tốt:

<a href="<?php echo esc_url($url); ?>">anchor</a>

Dưới đây là một video tuyệt vời của Mark Jaquith giải thích việc sử dụng các chức năng thoát:

• Bảo mật chủ đề & plugin

Chỉ sử dụng cẩn thận $ _GET / $ _POST / $ _REQUEST và khi không có API tốt hơn

Plugin và Chủ đề nên sử dụng API Cài đặt để nhận và lưu dữ liệu đầu vào của biểu mẫu thay vì dựa vào $_POSTvà $_REQUESTdữ liệu trực tiếp.

Sử dụng $wpdb->prepare

Khi xây dựng các truy vấn tùy chỉnh thông qua $wpdbđối tượng, luôn luôn sử dụng $wpdb->prepaređể điền vào các giá trị thay thế bằng cách viết các truy vấn với dữ liệu trộn với mã SQL, vì các mysql_*hàm gia đình đã dạy sai mọi người.

Hãy cẩn thận với các hàm PHP có thể được sử dụng để chạy mã độc

Một cách đọc tuyệt vời cho bất kỳ ai viết PHP: Các hàm PHP có thể khai thác trên StackOverflow.

Sử dụng API sửa đổi chủ đề

Chủ đề nên sử dụng set_theme_mod()và các chức năng liên quan không phải là một sơ đồ tên tự phát minh.
API theme_mod là một lớp chuyên biệt cho API cài đặt; nó đảm bảo các tên duy nhất, đẩy tất cả các tùy chọn thành một mảng và - từ kinh nghiệm của tôi - dễ xử lý hơn nhiều. Thêm vào đó, nó cung cấp các bộ lọc được tiêu chuẩn hóa cho các plugin - rất tốt cho khả năng tương tác.

Tránh kích hoạt register_globals

Đừng dựa vào register_globals = on. Một chủ đề Pro mà khách hàng cuối cùng của tôi đã mua chính xác điều này. Tôi có thể hack bất kỳ trang web nào bằng chủ đề này trong 5 phút,
ThimbThumb cũng đã làm điều này (và vẫn còn?).

Không tạo tệp có quyền truy cập rộng không cần thiết

Đừng tạo tập tin với quyền truy cập quá tự do.

Sử dụng SSL khi có sẵn

Trỏ Chia sẻ của bạn trên Twitter / Facebook / Bất cứ điều gì liên kết đến URI HTTPS nếu có. Bảo mật của người đọc của bạn cũng quan trọng.

Lưu dữ liệu trong một mảng

Plugin và Chủ đề nên lưu các tùy chọn trong một mảng, thay vì tạo nhiều tùy chọn cho trang cài đặt. Việc sử dụng API Cài đặt sẽ xử lý việc này.

Kiểm tra khả năng phù hợp khi thêm và xuất các trang cài đặt

Các plugin nên sử dụng một khả năng thích hợp (ví dụ manage_options) cho khả năng thêm trang cài đặt.

Chủ đề nên sử dụng edit_theme_optionsnhư khả năng thích hợp để thêm trang cài đặt.

• Vai trò và khả năng (Codex)

Sử dụng thông tin và hướng dẫn cập nhật

Các plugin & Chủ đề nên triển khai cả các trang Tùy chọn và Cài đặt một cách có chủ ý và không dựa vào các hướng dẫn trang web sao chép và dán lỗi thời và không bao gồm bảo mật dữ liệu phù hợp, như các trang được liệt kê bên dưới.

Ví dụ về những điều không nên làm :

• Cách tạo trang tùy chọn cho chủ đề wordpress của bạn (1stwebdesigner.com)

• Tạo một trang tùy chọn chủ đề WordPress tuyệt vời phần 1 (wpshout.com)

Sử dụng API cài đặt

Plugin và Chủ đề nên sử dụng API Cài đặt, dễ sử dụng hơn, an toàn hơn và chăm sóc rất nhiều công việc khó khăn của các trang cài đặt:

• API cài đặt (Codex)

Để có hướng dẫn tốt về cách sử dụng API Cài đặt, hãy xem:

• Kết hợp API cài đặt trong Chủ đề WordPress (Chip Bennett)
• Xử lý các tùy chọn bổ trợ trong WordPress bằng register_setting () (Ozh Richard)
• Hướng dẫn API cài đặt WordPress (Otto)

Đối với các hộp kiểm và chọn tùy chọn, Plugin và Chủ đề nên sử dụng checked()và các selected()chức năng để xuất ra checked="checked"và selected="selected", tương ứng.

Hàm tiền tố và tên biến

Các plugin nên thêm tiền tố vào tất cả các tùy chọn, chức năng tùy chỉnh, biến tùy chỉnh và hằng số tùy chỉnh với plugin-slug.

Chủ đề nên tiền tố tất cả các tùy chọn, chức năng tùy chỉnh, biến tùy chỉnh và hằng số tùy chỉnh với sên chủ đề.

Sử dụng wp_safe_redirect () thay vì gọi hàm tiêu đề () của php trực tiếp khi chuyển hướng đến một trang trên cùng một tên miền.

Thêm trang cài đặt vào các phần thích hợp của menu quản trị

Các plugin nên sử dụng add_options_page()chức năng để thêm Trang Cài đặt Plugin vào Settingsmenu, thay vì sử dụng add_menu_page()để thêm menu cấp cao nhất.

Chủ đề nên sử dụng add_theme_page()chức năng để thêm Trang cài đặt chủ đề vào Appearancemenu, thay vì sử dụng add_menu_page()để thêm menu cấp cao nhất.