問題描述

我知道 WP 對某些目錄和文件是可寫的要求。我也知道，讓權限過寬可以打開安全漏洞。最後，我知道 (在這裏插入您的服務器) 的用户可以像在 Linux 系統上一樣運行。

安全在一邊，我喜歡下載主題和插件到我的博客，並在必要時進行更新。正確的權限似乎與這種偏好有點不一致。

我在這裏和那裏收集了一些細節，但是我想看到一個更明確的答案，如果有一個：什麼是首選設置點頭安全？應該有哪些權限，站點運行的用户等等。

最佳解決方案

如果您有 FTP 訪問您的服務器，最安全的安裝程序沒有您的主題或插件目錄可由您的網絡服務器可寫，而是使用 FTP 的 WordPress 更新文件。當您更新插件時，WordPress 會提示您輸入您的 FTP 詳細信息。

FTP 方法比直接文件寫入慢很多，但是由於流氓腳本無法修改文件，因此它的安全性更高。

次佳解決方案

正如 @ Viper007Bond 所説，通過內置更新機制更新您的核心，插件和主題是非常安全的，只要 file-permissions 可以使用，因為他們可以使用您的實際用户憑據。為了最大的安全性，您需要確保安裝了 SSH2 PHP extension 。安裝方法 (如果可能) 可以從 host-to-host 變化，所以如果還沒有，那麼您可能需要詢問託管服務，或者做一些谷歌搜索。

許多共享託管服務將在其 Apache 設置中使用 suexec，以便 Web 服務作為實際用户運行。這消除了大多數權限問題，並有助於保護您的文件與服務器上的其他用户。但是，如果 Apache 作為單獨的用户運行，如果要將文件上傳到 WordPress 中，則必須打開上傳目錄的權限。

在這種情況下，您可能希望 wp-content/uploads 目錄具有 0713 權限 (AKA rwx--x-wx) 。這給目錄所有者的完全權限，他們的組可以讀取文件，如果他們知道完整的路徑，而其他 (包括 Web 服務器) 可以讀取他們知道路徑並可以創建/寫入文件的文件。

一些緩存插件也希望有一個可以寫入的 wp-content/cache 目錄 (或類似的) 。相同的權限建議將適用於此。

最後，對於漂亮的永久鏈接，WordPress 需要能夠修改.htaccess 文件，除非您打算手動更新。在這種情況下，您需要 0646 作為文件模式。然而，一旦你已經定下了你的永久鏈接結構，你通常不需要再次更改，所以你可以關閉額外的寫入權限，並將其設置為 0644 。有時，插件或核心升級可能需要訪問它，您可以暫時將寫入權限重新打開，然後重新關閉。

所有其他文件應具有 0644 權限。如果您是 extra-paranoid，目錄應為 0711，但這可能會干擾任何需要從目錄中獲取文件列表的插件。在這種情況下，或者如果您不那麼偏執，請使用 0755，這將允許其他人讀取但不能寫入。

如果您是共享主機，大多數這是主要的問題。如果您有專用服務器 (包括 VPS)，沒有其他用户可以訪問 ssh /ftp，那麼您可以放鬆一點。我不是説你應該把所有內容都公開寫成，但你可能只是信任系統默認值，這可能是 0755 對目錄而不是 0711 的權限。

如果它是一個選項，請獲得該站點安裝的 SSL 證書，一旦您測試過您可以通過 https 訪問您的站點，您可以強制使用 SSL 進行管理登錄和訪問，只要在 wp-config.php 文件之前添加這些行’Stop editing’ 評論：

define('FORCE_SSL_ADMIN', true);
define('FORCE_SSL_LOGIN', true);

參考文獻

注：本文內容整合自 Google/Baidu/Bing 輔助翻譯的英文資料結果。如果您對結果不滿意，可以加入我們改善翻譯效果：薇曉朵技術論壇。