前面 WordPress 用户的 user_login、user_nicename、display_name 和 nickname 有什么区别的文章已经介绍了 WordPress 用户的字段的关系。
今天开始介绍一下 WordPress 安全的最重要一步：防止用户名暴露。
WordPress 用户名是 user_login，然后还有个 user_nicename， 也可以说是 user 的 slug， 最长 50 个字符。
默认情况下，在用户注册的时候，直接过滤掉 user_login 一些不适合在链接中生成的字符，然后全部转成小写字母生成 user_nicename。
WordPress 怎么暴露用户名
因为默认情况下 WordPress 用户的 user_nicename 和 user_login 是一样的，这样只要通过下面三个方法猜测到 user_login，然后就可以暴力破解。
1. 作者的文章列表链接是：https://blog.wpjam.com/author/superdenis/，其中的 superdenis 是user_nicename。
2. 在 body 的 class 中，如果当前用户的作者页，也会出现用户的 user_nicename。
3. 和 comment 的 class 中，如果留言的用户也是当前站点的用户，也会出现用户的 user_nicename。
如何防止暴露用户名
1. 修改 user_nicename。
WordPress 后台没有提供修改的 user_nicename 的地方，「WPJAM 用户管理插件」已经实现了该功能。
2. user_login 不出现在作者的文章列表链接中
如果用户的 user_nicename 和 user_login 是一样的情况下：
作者文章链接使用 author_id 代替 user_nicename。
add_filter('author_link', function($link, $author_id, $author_nicename){
$author = get_userdata($author_id);
if(sanitize_title($author->user_login) == $author_nicename){
global $wp_rewrite;
$link = $wp_rewrite->get_author_permastruct();
$link = str_replace('%author%', $author_id, $link);
$link = home_url(user_trailingslashit($link));
}
return $link;
}, 10, 3);
原来的作者链接直接设置为 404 页面，防止用户名暴露。
add_action('pre_get_posts', function($wp_query) {
if($wp_query->is_main_query() && $wp_query->is_author()){
if($author_name = $wp_query->get('author_name')){
$author_name = sanitize_title_for_query($author_name);
$author = get_user_by('slug', $author_name);
if($author){
if(sanitize_title($author->user_login) == $author->user_nicename){
$wp_query->set_404();
}
}else{
if(is_numeric($author_name)){
$wp_query->set('author_name', '');
$wp_query->set('author', $author_name);
}
}
}
}
});
3. user_login 不出现在 body_class 中
add_filter('body_class', function($classes){
if(is_author()){
global $wp_query;
$author = $wp_query->get_queried_object();
if(sanitize_title($author->user_login) == $author->user_nicename){
$author_class = 'author-'.sanitize_html_class($author->user_nicename, $author->ID);
$classes = array_diff($classes, [$author_class]);
}
}
return $classes;
});
4. user_login 不出现在 comment_class 中
add_filter('comment_class', function ($classes){
foreach($classes as $key => $class) {
if(strstr($class, 'comment-author-')){
unset($classes[$key]);
}
}
return $classes;
});
安全是最重要的，防止用户名暴露是 WordPress 最重要的一步，所以一定要重视。
WPJAM 用户管理插件 已经集上面所有的功能和相关代码，直接启用即可，点击阅读原文查看 WPJAM 用户管理插件的详细介绍。
