账号安全 第2页

外部工具调用WordPress接口时，不必共享主账户密码。应用密码提供可单独撤销的程序访问凭据，但仍需要管理归属和使用范围，不能创建后就不再检查。

把API密钥从代码挪到配置文件，是整理的开始。配置文件是否进入仓库、被Web访问或写进日志，仍会决定它是否泄漏。

如果一个账户只负责写文章，通常不必同时拥有安装插件和管理用户的权限。合理分配WordPress角色，可以让日常协作更清晰。

开启两步验证之后，账号仍可能因为手机遗失或恢复方式过期而无法访问。安全设置是否可用，需要同时检查日常登录和异常恢复。

密码管理器的价值在于帮助你为不同账户使用不同密码。开始迁移之前，先把主密码、恢复方式和设备保护安排好，避免只解决了记忆问题。

Agent能执行更多步骤，也意味着它可能接触更多账户、文件和外部服务。阅读功能公告时，权限边界应与能力演示一起看。

从入口、域名、请求内容和独立核实四个角度判断可疑消息，并说明输入过密码或验证码后的处理顺序。