分析 WordPress `wp-config.php` 中的 `wp_salt` 常量源码：提升用户认证 Cookie 安全性。 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

各位观众老爷们，大家好！我是你们的码农老司机，今天咱们来聊聊 WordPress 里一个听起来神秘兮兮，但实际上非常重要的东西：wp-config.php 里的 wp_salt 常量，看看它如何提升用户认证 Cookie 的安全性。

开场白：Cookie 的脆弱与盐的救赎

想象一下，你辛辛苦苦登录了 WordPress 后台，然后浏览器悄悄地给你塞了一个小饼干（Cookie），上面写着“这是管理员”。下次你再访问的时候，浏览器会把这个小饼干亮出来，服务器一看，哦，是管理员，放行！

但是，如果有人偷走了你的小饼干，或者伪造了一个一模一样的小饼干，那可就麻烦大了！这就是 Cookie 的脆弱之处。

而 wp_salt，就是用来给这些小饼干加点“盐”，让它们更难被伪造，更安全。

什么是 Salt？（别想歪了，不是吃的那种）

在密码学里，Salt（盐）是一个随机生成的数据，它被用来和密码一起进行哈希运算。哈希运算是一种单向加密，把一个字符串变成一串乱码，而且不可逆。

加盐的目的，是为了防止彩虹表攻击。彩虹表是一个预先计算好的哈希值表，攻击者可以用它来快速破解常见的密码。但是，如果每个密码都加了不同的盐，那么彩虹表就失效了，攻击者必须为每个密码都重新计算哈希值，大大增加了破解的难度。

wp_salt 在 WordPress 中的作用

在 WordPress 中，wp_salt 不仅仅用于密码哈希，更重要的是用于生成认证 Cookie 的密钥。这些 Cookie 包括：

wordpress_[hash]：用于验证用户的登录状态。
wordpress_logged_in_[hash]：用于记录用户是否已经登录。
wp-settings-[UID]：用于存储用户的个性化设置。
wp-settings-time-[UID]：用于存储用户设置的过期时间。

这些 Cookie 的值，都是通过一些加密算法，用 wp_salt 作为密钥进行加密的。如果 wp_salt 被泄露，或者太弱，攻击者就可以伪造这些 Cookie，冒充用户登录后台。

wp-config.php 中的 wp_salt 常量

打开你的 wp-config.php 文件，你会看到类似这样的代码：

define( 'AUTH_KEY',         'put your unique phrase here' );
define( 'SECURE_AUTH_KEY',  'put your unique phrase here' );
define( 'LOGGED_IN_KEY',    'put your unique phrase here' );
define( 'NONCE_KEY',        'put your unique phrase here' );
define( 'AUTH_SALT',        'put your unique phrase here' );
define( 'SECURE_AUTH_SALT', 'put your unique phrase here' );
define( 'LOGGED_IN_SALT',   'put your unique phrase here' );
define( 'NONCE_SALT',       'put your unique phrase here' );

这些常量，就是 WordPress 用来生成认证 Cookie 的密钥和盐。它们统称为 "Salts"。

为什么有这么多 Salt？

你可能会好奇，为什么 WordPress 要用这么多 Salt，而不是一个 wp_salt 搞定所有事情？

这是为了增加安全性。不同的 Salt 用于不同的目的，即使一个 Salt 被泄露，也不会影响到其他的 Salt。

AUTH_KEY 和 AUTH_SALT: 主要用于生成认证 Cookie（wordpress_[hash]）。
SECURE_AUTH_KEY 和 SECURE_AUTH_SALT: 用于生成 HTTPS 下的认证 Cookie。
LOGGED_IN_KEY 和 LOGGED_IN_SALT: 用于生成 wordpress_logged_in_[hash] Cookie。
NONCE_KEY 和 NONCE_SALT: 用于生成 Nonce（一次性使用的令牌），防止 CSRF 攻击。

wp_salt 的生成与重要性

wp_salt 的生成非常重要，必须是随机的、唯一的、足够长的字符串。WordPress 官方提供了一个在线 Salt 生成器：https://api.wordpress.org/secret-key/1.1/salt/

这个工具会生成一组随机的 Key 和 Salt，你可以直接复制粘贴到你的 wp-config.php 文件中。

手动生成 Salt 的方法 (不推荐，除非你很懂)

虽然不推荐，但是为了满足一些好奇宝宝，我还是简单说一下如何手动生成 Salt。

你可以使用 PHP 的 openssl_random_pseudo_bytes() 函数来生成随机字符串，然后进行 Base64 编码。

<?php

function generate_salt($length = 64) {
    $strong = true;
    $bytes = openssl_random_pseudo_bytes($length, $strong);

    if ($strong === false) {
        // 如果 openssl_random_pseudo_bytes() 没有产生强随机数，需要采取其他措施
        // 例如，抛出异常或者使用其他随机数生成方法
        throw new Exception('Could not generate strong random bytes.');
    }

    return base64_encode($bytes);
}

// 示例
try {
    $auth_key = generate_salt();
    $secure_auth_key = generate_salt();
    $logged_in_key = generate_salt();
    $nonce_key = generate_salt();
    $auth_salt = generate_salt();
    $secure_auth_salt = generate_salt();
    $logged_in_salt = generate_salt();
    $nonce_salt = generate_salt();

    echo "define('AUTH_KEY',         '" . $auth_key . "');n";
    echo "define('SECURE_AUTH_KEY',  '" . $secure_auth_key . "');n";
    echo "define('LOGGED_IN_KEY',    '" . $logged_in_key . "');n";
    echo "define('NONCE_KEY',        '" . $nonce_key . "');n";
    echo "define('AUTH_SALT',        '" . $auth_salt . "');n";
    echo "define('SECURE_AUTH_SALT', '" . $secure_auth_salt . "');n";
    echo "define('LOGGED_IN_SALT',   '" . $logged_in_salt . "');n";
    echo "define('NONCE_SALT',       '" . $nonce_salt . "');n";

} catch (Exception $e) {
    echo 'Caught exception: ',  $e->getMessage(), "n";
}

?>

注意：

openssl_random_pseudo_bytes() 函数需要 OpenSSL 扩展的支持。
如果 openssl_random_pseudo_bytes() 函数无法生成强随机数，你应该采取其他措施，例如抛出异常或者使用其他的随机数生成方法。
强烈建议使用 WordPress 官方的 Salt 生成器，因为它更安全、更方便。

wp_salt 的更新

如果你的网站不幸被黑，或者怀疑 wp_salt 泄露，你应该立即更新 wp_salt。

更新 wp_salt 的步骤如下：

访问 WordPress 官方的 Salt 生成器：https://api.wordpress.org/secret-key/1.1/salt/
复制生成的 Key 和 Salt。
打开你的 wp-config.php 文件。
替换掉原来的 Key 和 Salt。
重点： 强制用户重新登录。你可以通过修改数据库中的用户密码来实现，或者使用插件来强制所有用户退出登录。

为什么更新 wp_salt 后要强制用户重新登录？

因为更新 wp_salt 后，原来的 Cookie 就失效了。如果用户仍然使用旧的 Cookie，服务器会认为他们没有登录，或者认为他们是伪造的 Cookie。强制用户重新登录，可以确保他们使用新的 Cookie，保证网站的安全。

wp_salt 的最佳实践

使用 WordPress 官方的 Salt 生成器。
定期更新 wp_salt。 (建议每年至少更新一次)
保护好你的 wp-config.php 文件。 不要把 wp-config.php 文件放在 Web 可访问的目录下。
使用 HTTPS。 HTTPS 可以加密 Cookie，防止 Cookie 被窃听。
不要在公共场合登录 WordPress 后台。

代码示例：WordPress 如何使用 wp_salt 生成 Cookie

为了更深入地理解 wp_salt 的作用，我们来看一个简化的代码示例，模拟 WordPress 如何使用 wp_salt 生成认证 Cookie。

<?php

// 假设这是用户的 ID 和密码
$user_id = 123;
$username = 'admin';
$password = 'password123'; // 永远不要直接存储明文密码!

// 从 wp-config.php 中获取 Salt
define('AUTH_KEY',         'your-auth-key');
define('AUTH_SALT',        'your-auth-salt');

// 生成一个随机的 Token
function generate_token($length = 32) {
    $strong = true;
    $bytes = openssl_random_pseudo_bytes($length, $strong);
    return bin2hex($bytes);
}

$token = generate_token();

// 使用密码、 Salt 和 Token 生成哈希值
$hash = hash('sha256', $username . $password . AUTH_KEY . AUTH_SALT . $token);

// 创建 Cookie 值
$cookie_value = $user_id . '|' . $hash . '|' . $token;

// 设置 Cookie
setcookie('wordpress_admin', $cookie_value, time() + (86400 * 30), "/"); // Cookie 有效期 30 天

// 验证 Cookie 的函数 (简化版)
function verify_cookie($cookie_value) {
    global $username, $password; // 假设这些变量已经定义
    define('AUTH_KEY',         'your-auth-key');
    define('AUTH_SALT',        'your-auth-salt');

    // 从 Cookie 中提取数据
    $parts = explode('|', $cookie_value);
    if (count($parts) !== 3) {
        return false; // Cookie 格式不正确
    }

    $user_id = $parts[0];
    $hash = $parts[1];
    $token = $parts[2];

    // 重新计算哈希值
    $expected_hash = hash('sha256', $username . $password . AUTH_KEY . AUTH_SALT . $token);

    // 比较哈希值
    if ($hash === $expected_hash) {
        return $user_id; // 验证成功，返回用户 ID
    } else {
        return false; // 验证失败
    }
}

// 示例：验证 Cookie
if (isset($_COOKIE['wordpress_admin'])) {
    $user_id = verify_cookie($_COOKIE['wordpress_admin']);
    if ($user_id) {
        echo "Welcome, User ID: " . $user_id;
    } else {
        echo "Cookie verification failed.";
    }
} else {
    echo "No cookie found. Please log in.";
}

?>

代码解释：

generate_token() 函数： 生成一个随机的 Token，增加 Cookie 的随机性。
hash() 函数： 使用 SHA256 算法生成哈希值，将用户名、密码、AUTH_KEY、AUTH_SALT 和 Token 混合在一起。
setcookie() 函数： 设置 Cookie，将用户 ID、哈希值和 Token 作为 Cookie 的值。
verify_cookie() 函数： 验证 Cookie，从 Cookie 中提取数据，重新计算哈希值，并与 Cookie 中的哈希值进行比较。

这个示例只是一个简化版，实际的 WordPress 代码要复杂得多。但是，它展示了 wp_salt 在生成和验证 Cookie 中的基本作用。

总结：wp_salt，网站安全的守护神

wp_salt 就像是网站安全的守护神，默默地保护着你的 WordPress 后台。虽然它只是 wp-config.php 文件中的几个简单的常量，但它们对于防止 Cookie 伪造、保护用户登录状态至关重要。

记住，一个强大的 wp_salt，加上良好的安全习惯，才能让你的 WordPress 网站更加安全可靠。

下课！ 希望今天的讲座对大家有所帮助。如果有什么问题，欢迎在评论区留言。

发表回复 取消回复

发表回复取消回复