WordPress用户必然会碰到的一个问题，是各种注册、评论机器人会扫描你的网站，并试图发布垃圾评论和文章。而对于多用户的网站，我偶尔会碰到一些有发布权限的用户被泄露了账号密码后，账号就被这些机器人利用起来，在网站发布广告、甚至是违禁内容，如果不是第一时间发现并清理，还可能导致网站被搜索引擎甚至监管部门惩罚，后果严重。通常对于比较重要的网站，我会劝说客户把站点放到Kinsta服务器上，以获得较为可靠的安全庇护。你也可以安装Wordfence插件获取一定的保护，但这会牺牲一些服务器资源，导致网站变慢。
除此之外，我推荐的一个比较有效的方式是屏蔽那些会在你网站发布垃圾内容的IP地址，把这些IP地址通过服务器的iptables或者服务商后台的IP黑名单（比如加入阿里云的云盾）来屏蔽。那么问题来了，怎样获取这些IP地址呢？
对于发布垃圾评论的IP地址，这是比较容易的，WordPress后台会记录每条评论发出的IP地址。
而对于被泄露账户的用户，收集他们的IP地址则需要添加一些代码来做到了。我通过给用户增加2个字段，“signup_ip”和“last_login_ip”来获取需要的信息，代码如下
//用户注册时的IP地址 function brain1981_register_ip($user_id){ $ip = $_SERVER['REMOTE_ADDR']; update_user_meta($user_id, 'signup_ip', $ip); } add_action('user_register', 'brain1981_register_ip'); //用户上一次登录的IP地址 function brain1981_last_login_ip( $user_login, $user ) { $ip = $_SERVER['REMOTE_ADDR']; update_user_meta($user->ID, 'last_login_ip', $ip); } add_action('wp_login', 'brain1981_last_login_ip', 10, 2); //后台增加用户注册时间排序 function brain1981_users_columns( $columns ) { $columns['registerdate'] = 'Registered'; return $columns; } add_filter( 'manage_users_columns', 'brain1981_users_columns'); //在列表显示这些信息 function brain1981_users_custom_column( $value, $column_name, $user_id ) { if ( 'registerdate' != $column_name ) { return $value; } else { $user = get_userdata( $user_id ); $signup_ip = get_user_meta($user_id, 'signup_ip', true); if ($signup_ip == ""){ $signup_ip = '<em>N/A</em>'; } $last_login_ip = get_user_meta($user_id, 'last_login_ip', true); if ($last_login_ip == ""){ $last_login_ip = '<em>N/A</em>'; } $formated_date = __( 'Y/m/d g:i:s' ); $registered = strtotime( get_date_from_gmt( $user->user_registered ) ); $registerdate = '<span>'. date_i18n( $formated_date, $registered ) .'</span><br/>Signup IP:'.$signup_ip.'<br/>Last Login IP:'.$last_login_ip ; return $registerdate; } } add_action( 'manage_users_custom_column', 'brain1981_users_custom_column', 10, 3); //使这一栏可以参与后台排序，通过用户注册时间排序 function brain1981_users_sortable_columns( $columns ) { $custom = array( 'registerdate' => 'registered', ); return wp_parse_args( $custom, $columns ); } add_filter( 'manage_users_sortable_columns', 'brain1981_users_sortable_columns' ); |
这样后台就会列出这些信息了。注册时间可以直接显示出来，因为WP本身有记录，但是IP地址则是需要用户新注册和下次登录才会有了，因为这些都是当前才开始记录的数据 。
获取这些IP后，如果发现这个用户会发垃圾内容，判断Ta的账号有问题，就可以屏蔽上次登录的IP和他的权限。需要通知他可能在网上的各种账号都已有被泄露的风险，通常是被撞库了，一定要立即修改密码。
对于访问量比较大的网站，甄别出来的机器人IP我通常是逐条屏蔽，一开始可能会比较多，但随着这些IP地址收集得越来越多，以后基本上每个月集中处理一次就可以了。
本站所有文章均为原创，欢迎转载，请注明文章出处：https://blog.brain1981.com/3149.html。百度和各类采集站皆不可信，搜索请谨慎鉴别。技术类文章一般都有时效性，本人习惯不定期对自己的博文进行修正和更新，因此请访问出处以查看本文的最新版本。
本站记录了近几年的工作中遇到的一些技术问题和解决过程，“作品集”还收录了本人的大部分作品展示。除了本博客外，我们的工作室网站 – JennyStudio，内有更多作品回顾和展示。您也可以扫描左边的二维码，关注我们的微信公众号，在微信上查看我们的案例。