WordPress共11篇

外部工具调用WordPress接口时，不必共享主账户密码。应用密码提供可单独撤销的程序访问凭据，但仍需要管理归属和使用范围，不能创建后就不再检查。

备份可能包含数据库、账户信息和配置，比公开网页包含更多内容。设计恢复流程时，也要明确谁能够读取备份，以及它是否会被网站直接提供下载。

插件能接触网站数据和运行环境，因此“安装成功”不是可信证明。拿到一个压缩包后，先核对发布者、版本与下载路径，再决定是否进入测试。

内容安全策略可以限制页面加载或执行某些资源，但直接复制一段严格配置，也可能使主题组件、登录或支付界面失效。部署前先了解资源来源，再逐步验证。

如果一个账户只负责写文章，通常不必同时拥有安装插件和管理用户的权限。合理分配WordPress角色，可以让日常协作更清晰。

robots.txt向遵守规则的爬虫说明抓取偏好，不是文件访问控制。把敏感目录写进Disallow，并不会让普通请求失去读取这些文件的能力。

以一次PHP 8.2.35独立切换为例，核对域名到活动FPM的请求链，区分运行包与数据库恢复证据，记录编辑器异常对照、实际请求验证和回退限制。

把WordPress维护拆成可执行的小检查：记录版本、精简权限、核对备份，并验证站点是否真的能够恢复。

备份任务显示成功，只能说明某次文件操作完成了。站点能否恢复，还取决于数据库、上传文件、程序版本和配置是否配套。

发现网站异常时，先记录时间、陌生账号、跳转和新增文件等证据，再判断影响范围，避免清理动作破坏后续排查线索。