网络安全 第2页

备份可能包含数据库、账户信息和配置，比公开网页包含更多内容。设计恢复流程时，也要明确谁能够读取备份，以及它是否会被网站直接提供下载。

外部工具调用WordPress接口时，不必共享主账户密码。应用密码提供可单独撤销的程序访问凭据，但仍需要管理归属和使用范围，不能创建后就不再检查。

插件能接触网站数据和运行环境，因此“安装成功”不是可信证明。拿到一个压缩包后，先核对发布者、版本与下载路径，再决定是否进入测试。

附完整Python实验和30项测试：检查ZIP路径、文件碰撞与资源预算，在新目录内解包，复现第二个文件CRC失败后的清理，并保留旧结果。

图片上传入口接受一个以.jpg结尾的名称，并不能证明内容就是安全图片。上传防护应从业务允许什么开始，再把身份、内容、大小与存放位置一起检查。

把API密钥从代码挪到配置文件，是整理的开始。配置文件是否进入仓库、被Web访问或写进日志，仍会决定它是否泄漏。

看到JWT里的账号或过期字段，只说明读取到了相应内容。对于用作认证的签名令牌，系统还需要验证密码学保护及预期声明，不能把解码结果直接当作可信身份。

页面不给普通用户显示编辑按钮，只是界面选择。真正的授权应在服务端核对当前身份能否操作目标对象，而不能仅凭请求中带了一个记录编号。

解释HMAC摘要比较中的时间侧信道风险，说明hmac.compare_digest与普通相等比较的差别，以及不能由此推导出的接口安全结论。

重置链接相当于一份临时授权。系统不仅要把邮件送到用户手里，还要限制令牌的有效期、使用次数和关联账户，避免旧链接长期保留修改密码的能力。