WordPress获取用户的评论安全防护速查手册

改个需求建站公司拖一周，建站过程中最大的坑不是功能做不对，而是安全防护没到位。特别是 WordPress 获取用户评论这种功能，如果没做好防护，轻则评论被刷，重则网站被黑。这篇文章就是你的速查手册，教你如何安全地获取并管理用户评论，避开常见的安全陷阱。

威胁场景

你有没有想过，用户评论不只是内容，也可能成为攻击入口？黑帽分子可以通过评论注入恶意脚本，比如 XSS（跨站脚本攻击）或 SQL 注入，甚至直接上传木马文件。一个没有做好防护的评论功能，可能让攻击者绕过登录权限，直接控制你的网站。

常见的威胁场景包括：

• XSS 攻击：评论中包含 <script> 标签，导致用户浏览时被劫持。
• SQL 注入：评论中包含 SQL 语句，可能读取或删除数据库数据。
• 评论刷屏：大量垃圾评论占用服务器资源，影响正常用户访问。
• 评论中包含链接：恶意链接可能引导用户访问钓鱼网站。

这些攻击手段在 WordPress 站点中并不少见，尤其是评论功能没有经过安全加固的网站。

漏洞原理

WordPress 的评论功能默认通过 wp-comments-post.php 文件处理用户提交的评论。这个文件接收用户输入，然后插入数据库中，但如果没有进行严格的过滤和转义，就可能导致安全漏洞。

举例：XSS 攻击代码

攻击者可能在评论中输入以下内容：

<script>alert('XSS攻击成功！');</script>

如果网站没有对输入内容进行过滤，这段代码就会直接显示在页面上，执行后会弹出一个警告框。更严重的，这段代码可能被用来窃取用户 Cookie，进行钓鱼攻击。

举例：SQL 注入攻击代码

攻击者在评论中输入以下内容：

' OR '1'='1

如果 WordPress 评论模块没有对输入内容进行转义或参数化查询，这段代码可能被用来绕过权限验证，甚至执行任意 SQL 语句。

防护方案

为了确保用户评论功能安全，我们需要从几个方面入手，包括输入过滤、输出转义、限制评论频率、使用安全插件等。

输入过滤与转义

WordPress 自带了 wp_filter_post_kses() 函数，可以用来过滤 HTML 标签。你可以在 wp-comments-post.php 中找到 $_POST['comment'] 的处理代码，并在插入数据库前进行过滤。

$comment_content = wp_filter_post_kses($_POST['comment']);

如果你希望进一步限制标签，可以使用 wp_kses() 函数，传入允许的标签和属性：

$allowed_tags = array('a' => array('href' => true,'rel' => true),'strong' => true,'em' => true
);
$comment_content = wp_kses($_POST['comment'], $allowed_tags);

防止 SQL 注入

WordPress 的 wpdb 类已经默认对所有查询参数进行转义，但在手动执行 SQL 查询时，必须确保使用 $wpdb->prepare() 函数。

global $wpdb;
$comment_content = sanitize_text_field($_POST['comment']);
$wpdb->query( $wpdb->prepare( "INSERT INTO wp_comments (comment_content) VALUES (%s)", $comment_content ) );

评论频率限制

为了防止刷屏，建议限制用户评论频率，比如每小时只能评论一次。你可以使用插件如 Akismet 或 WP Comment Spammer Blocker 来实现，也可以自行编写代码进行限制。

安全插件推荐

• Akismet：自动过滤垃圾评论，支持多语言。
• WP Security：提供评论审核、黑名单等功能。
• Cloudflare：CDN 和 WAF（Web 应用防火墙）功能，能有效拦截恶意请求。

Cloudflare 文档中明确提到，通过 WAF 规则，可以拦截常见的 XSS 和 SQL 注入攻击。建议为 WordPress 站点启用 Cloudflare 的免费计划，以提升整体安全防护。

检测与修复

如果你怀疑网站已经被攻击，首先要做的就是检测评论区是否有恶意内容。

检测步骤

1. 检查数据库中的评论内容：查看 wp_comments 表中的 comment_content 字段，是否有异常内容。
2. 查看网站日志：分析访问日志，查找频繁提交评论的 IP 地址。
3. 运行安全扫描工具：使用 Wordfence、iThemes Security 等插件扫描网站，检查是否存在已知漏洞。

修复方案

如果发现恶意评论，应立即删除，并修改相关配置，防止再次发生。

• 删除恶意评论：进入 WordPress 后台 → 评论 → 删除可疑评论。
• 更新插件和 WordPress：确保 WordPress 主程序、主题、插件都是最新版本。
• 启用安全插件：如 Akismet、Wordfence，增强评论审核能力。
• 启用 WordPress 的自动评论审核功能：在后台 → 设置 → 讨论 → 开启“必须审核评论”选项。

配置自动审核规则

在 wp-comments-post.php 文件中，你还可以添加自定义审核逻辑，比如过滤特定关键词或 IP 地址。

$blacklisted_words = array('恶意', '攻击', '钓鱼');
$comment_content = strtolower($_POST['comment']);
foreach ($blacklisted_words as $word) {if (stripos($comment_content, $word) !== false) {wp_die('评论包含非法内容，审核未通过。');}
}

安全加固清单

为了进一步提高评论功能的安全性，建议按照以下清单进行加固：

建站花了多少钱？留言说说真实价格