固定自定义WordPress API端点：11个基本技巧

如果您使用WordPress REST API，则确保端点是防止它们成为攻击向量的关键步骤。在本指南中，我们正在探索这样做的最佳实践。

在下面，我们正在讨论如何确保API流量安全，设置正确的权限，保护和清洁传输数据，并保持潜在问题之外。

tl; dr for WordPress API端点

压了时间？这是主要的收获。

WordPress REST API允许强大的集成和灵活性，但是如果不安全，它的端点也可以打开攻击的门。为了确保您的网站安全，重要的是在API使用的各个方面实施分层安全：

• 将WordPress，其主题和插件保持最新，以加以修补已知漏洞。

• 使用SSL/HTTPS保护所有API流量，以防止拦截和篡改。

• 优先考虑站点速度以避免超时，处理API迅速调用，并在拒绝服务攻击时保持网站工作。

• 使用自定义的用户角色和权限将特权保持在基本最低限度。

• 验证和消毒数据以防止恶意标记。

• 使用身份验证和授权来控制API端点访问。

• 增加速率限制以防御蛮力，刮擦和DOS攻击。

• 使用安全标头，日志记录和IP白色列入在需要的情况下加强您的设置。

了解WordPress REST API

在研究自定义API端点的安全实践之前，重要的是要了解它们是什么以及它们如何适合WordPress生态系统。

WordPress REST API是什么？

让我们从顶部开始。 API代表“应用程序编程接口”。这是一块软件，允许两个不同的程序相互通信并交换数据。

WordPress有许多API，但最强大和最重要的是REST API。自WordPress 4.7以来，这一直是核心功能。

REST代表“代表性的转移”，并描述了创建具有多种好处的API的标准。其中之一是，Restful API可以更轻松地互相交流。

WordPress REST API还使用JSON（JavaScript对象符号）数据格式，该格式易于读写和与许多编程语言兼容。

它提供了一种使用HTTP请求（例如get（检索），post（create），put/patch（update）和delete（remove）等HTTP请求与WordPress进行交互的标准化方法。在他们的帮助下，可以从外部WordPress操纵帖子，页面，用户和评论以及自定义内容类型等核心数据类型，而无需先登录网站。

所有这些都可以通过各种外部软件，工具和应用程序整合和连接WordPress。例如，REST API是无头WordPress设置或将您的网站与移动应用集成的基础工具。 WordPress块编辑器（又名Gutenberg）也使用REST API工作。

WordPress中的API端点是什么？

端点是代表WordPress网站中的对象或资源的特定URL。它可能是帖子，用户或自定义设置。当另一个软件向该URL发送请求时，可能会导致WordPress提供或修改该端点处的数据。

WordPress具有默认数据类型（例如帖子，评论，媒体和用户）的内置端点。您还可以创建定制功能的自定义端点，访问自定义数据，限制数据曝光或简化性能。这很有用，例如：

• 允许外部应用程序进行更改，例如发布或检索帖子并更新用户配置文件。

• 将WordPress连接到第三方工具，应用程序和服务（例如CRM，电子邮件营销提供商）。

• 为动态网站功能（例如实时搜索）启用实时数据获取。

• 构建自定义管理面板或分析仪表板。

为什么API端点安全很重要？

由于API可以直接访问网站数据，因此它也带来了安全风险。每个API端点都是WordPress站点的潜在入口点。如果没有适当的安全措施，它们就可以被利用并造成损坏，例如：

• 揭示敏感信息

• 启用蛮力或注射攻击

• 公开管理功能

• 拒绝服务（DOS）攻击的开放式走廊

• 使恶意软件注射成为可能

例如，当您访问https://yoursite.com/wp-json/wp/v2/users/（默认情况下，将yoursite.com替换为yoursite.com）时，您将看到网站上所有可用用户的列表。

这使黑客更容易将他们的方式强加入您的网站，因为它为它们提供了登录所需的一半凭证的一半。这就是为什么了解如何确保API端点以确保WordPress网站安全的原因很重要。

但是这样做并不是一个修复程序。它需要组合策略，我们将现在讨论。

1。定期应用软件更新

保持WordPress Core，插件和主题更新已适用已知安全漏洞的最新补丁。您可以手动应用它们或在WordPress中使用自动更新功能。

默认情况下，次要核心更新已经自动安装，因为它们通常专门发布以解决安全问题。应用主要更新时，请务必先备份您的网站并在登台网站上进行测试。

此外，不要忘记查看并更新处理API路由的任何自定义插件或代码。

2。使用SSL/HTTPS

在您的网站上实施SSL确保所有API请求和响应都在运输中加密。这可以保护敏感数据（例如身份验证令牌或用户信息）免受中间人攻击的拦截或操纵。

要在HTTPS上运行您的网站，您需要SSL/TLS证书。如果您的网站还没有，则通常最容易通过您的托管提供商进行设置。之后，您仍然需要为所有流量和API调用执行HTTPS使用情况。

3。投资网站性能

就像您网站的所有其他部分一样，为了使RETAP API完成工作，它需要良好的网站性能。如果您的网站由于缺乏服务器资源而无法容纳API请求，则依赖于它们的应用程序和集成可以体验缓慢的响应和超时。

此外，在旨在使其超载的API端点攻击时，速度优化的网站有更好的机会对访问者的反应和修复。

有很多方法可以改善网站性能，例如投资质量托管和优化您的图像。加快WordPress网站的一种简单方法是使用WP Rocket等性能插件。它包含许多提高站点速度的功能，例如：

• 缓存，包括单独的移动缓存

• 图像的懒惰加载，包括CSS背景，视频和iframe

• 推迟渲染阻滞资源

• 预加载缓存，链接，外部文件和字体

• 自我托管的Google字体

• 数据库优化

• 轻松连接到CDN的选项，包括RocketCDN

除此之外，WP Rocket还在背景中实现了额外的性能改进，例如GZIP压缩，缩小CSS和JavaScript文件以及折叠上方的图像优化（以改善最大的内容涂料）。

结果，您的网站一旦激活插件并立即变得更快，就可以实现80％的性能最佳实践。

4。设置自定义用户角色

WordPress的用户角色具有定义功能作为默认功能。

由于API请求使用您网站上用户的身份验证凭证，因此设置正确的访问级别还确定他们可以使用哪些端点以及可以执行的操作：

• 管理员：可以在所有API端点上执行所有CRUD（创建，读取，更新，删除）操作。

• 编辑：具有与帖子，页面和媒体相关的大多数API端点，并具有创建，编辑和删除内容的权限。

• 作者：包括对端点的访问，以创建和更新分配给用户的帖子。

• 贡献者：访问API端点的访问仅限于他们自己的草稿，而无需发布它们。

• 订户：订户通常只能检索自己的用户配置文件信息。

对于API端点安全性，请避免使用高特你角色（例如，管理员），如果没有必要的任务。这减少了潜在的破坏可能的影响。

更好的是，创建专门的角色，只有您要实现的目标所需的权限。这也称为至少特权的原则。

您可以使用add_role（）和add_cap（）函数来定义自定义角色和管理功能以及remove_cap（）从现有用户角色中夺走特权。或者，使用用户角色编辑器插件。

也可以使用禁用WP REST API或通过functions.php等插件来完全禁用非授权用户的REST API。

5。实施输入验证和消毒

输入验证和数据消毒使攻击者无法通过API端点提交有害的SQL命令或脚本。

验证意味着检查传入数据以确保其匹配预期格式，类型和允许的值。另一方面，消毒删除了请求中嵌入的有害代码。两者对于用户生成的内容尤其重要。

WordPress为此目的提供了几种本机功能，您可以在开发人员资源中找到这些功能：

• WordPress开发人员资源：数据验证

• WordPress开发人员资源：清理数据

6。利用准备好的语句进行数据库查询

准备的语句将用户输入和数据库命令分开。这样，它们通过中和恶意查询结构来帮助防止SQL注射攻击。

在WordPress中，您可以在构建SQL查询时使用$ WPDB-> Prepar（）自动逃脱用户输入以及包括占位符（％s，％d等），而不是将原始值直接插入查询中。

7.确保强大的身份验证和授权实践

身份验证确保从API端点请求数据的用户或实体是他们声称是谁。另一方面，授权控制给定用户可以访问和可以做什么。我们早些时候谈论用户角色时已经介绍了这一点。

默认情况下，WordPress REST API通过Cookie和Nonces提供身份验证，这些cookie和Nonces是独特的，短暂的令牌。您也可以通过在用户配置文件中设置应用程序密码来使用基本身份验证。

OAuth和JSON Web令牌也可通过WP REST API - OAUTH 1.0A服务器和WP REST API的JWT身份验证等插件获得。

在以下情况下使用不同类型的身份验证：

• Cookies + Nonces：在浏览器中进行API调用的主题/插件的理想选择。

• 应用程序密码（基本验证）：用于外部脚本，工具或服务。它易于设置，并且非常适合服务器到服务器通信。

• OAuth：最适合需要用户授予访问的第三方应用程序。

• JWT（JSON Web令牌）：适用于无头或脱钩的前端（例如，React或移动应用程序）和API端点，流量较高。

8。雇用费率限制和限制

利率限制使您可以设置用户或IP在给定时间段中可以提出多少个请求的限制。它有助于防御蛮力攻击，垃圾邮件，自动化滥用，旨在使系统超负荷过载。

限制速率对于公共或未经身份验证的终点尤为重要。同时，它并不是那么限制，以至于它在攻击时会阻止所有合法的请求和流量。

限制可以通过客户端或位置放置，也可以放在服务器本身上。您可以使用硬限制，该限制禁止任何请求直到提升，也可以在一个时间段内限制请求的数量。最后，您还可以为不同的用户组设置不同的限制。

WP教程为WordPress API提供了很好的指南。

9。使用安全标头

安全标头通过指示浏览器如何处理网站的内容和连接来提供额外的保护层。当您的API与前端应用程序或外部服务互动时，这些标题会帮助减轻常见的Web漏洞。

要实施的重要安全标头是：

• 内容 - 安全性 - 策略：对照脚本可以在API连接的前端运行。

• X-content-type-options：将其设置为nosniff，以防止浏览器将文件解释为不同的MIME类型。

• X-Frame-Options：使用Deny或Sameorigin可以通过禁止您的网站嵌入iframe中来防止点击夹克。

• 严格的传输安全：对将来的请求执行HTTP。

可以通过header（）函数，.htaccess（例如.htaccess）或诸如HeaderS Security Advanced等安全插件（例如安全插件）添加安全标头。了解有关安全标头的更多信息。

10。允许清单IP地址

控制访问敏感或管理端点的另一种方法是将其限制在特定的预定义的IP地址或范围内。这是针对未知来源未经授权的请求的简单但有效的障碍。

当然，先决条件是您知道要允许访问API端点的设备和程序的IP地址，并且它们保持静态。您可以通过functions.php和一些安全插件在服务器级别（例如.htaccess，nginx配置）配置允许清单。

11。利用记录和监视

最后，记录API请求，响应和用户活动是保护WordPress API端点的另一个好工具。它使您可以识别弱点，监视请求模式，发现错误并查明安全漏洞的来源。

随着时间的流逝，这有助于增强您的安全性。您可以使用REST API日志，服务器访问日志或自定义日志记录功能之类的插件。

立即保护您的自定义WordPress API端点

WordPress REST API及其终点功能强大，但如果没有适当的固定，可能会带来严重的风险。使它们安全使用需要不同的层和多管齐下的方法。但是，正如您在上面看到的那样，它相对简单。

您不应该忽略的一个方面是站点性能。精选的站点可以通过API更快地传递数据，并且在拒绝服务攻击期间对故障排除的响应更大的机会。为了简单且用户友好的方式来加快您的网站，WP Rocket！