详解 WordPress `wp_get_document_title()` 函数的源码：如何通过 `wp_title` 过滤器防止恶意标题。 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

各位观众老爷，大家好！今天咱们来聊聊WordPress里一个挺重要又容易被忽视的小家伙 —— wp_get_document_title() 函数。它负责给你的网站生成 <title> 标签的内容，也就是浏览器标签栏上显示的那玩意儿。别小看它，这可是SEO和用户体验的关键。更重要的是，如果处理不当，它可能成为恶意攻击的入口。

今天我们就来扒一扒它的源码，看看它是如何工作的，以及如何利用 wp_title 过滤器来防止那些不怀好意的家伙往你的网站标题里塞垃圾信息。

wp_get_document_title() 函数的“身世”

先来简单回顾一下wp_get_document_title()函数：

/**
 * Generates the text for the document title element.
 *
 * @since 4.4.0
 *
 * @return string The page title.
 */
function wp_get_document_title() {
    global $wp_query, $page, $paged;

    $title = '';

    // If there is a single post, page, or attachment, add the title.
    if ( is_singular() ) {
        $title = single_post_title( '', false );
    } elseif ( is_home() && get_option( 'page_for_posts', true ) ) {
        $title = single_post_title( '', false );
    } elseif ( is_front_page() ) {
        $title = get_bloginfo( 'name' );
        $description = get_bloginfo( 'description', 'display' );
        if ( $description && ( is_home() || is_front_page() ) ) {
            $title .= ' ' . $description;
        }
    } elseif ( is_search() ) {
        /* translators: %s: Search query. */
        $title = sprintf( __( 'Search Results for “%s”' ), get_search_query() );
    } elseif ( is_category() ) {
        /* translators: Category name */
        $title = sprintf( __( 'Category: %s' ), single_cat_title( '', false ) );
    } elseif ( is_tag() ) {
        /* translators: Tag name */
        $title = sprintf( __( 'Tag: %s' ), single_tag_title( '', false ) );
    } elseif ( is_archive() ) {
        $title = get_the_archive_title();
    } elseif ( is_404() ) {
        $title = __( 'Page Not Found' );
    }

    // Add the blog name.
    if ( 'blank' === get_option( 'blogname' ) ) {
        $title .= get_site_url();
    } else {
        $title .= get_bloginfo( 'name' );
    }

    // Add the page number if necessary.
    if ( ( $paged >= 2 || $page >= 2 ) && ! is_404() ) {
        /* translators: %s: Page number. */
        $title .= sprintf( __( ' &ndash; Page %s' ), max( $paged, $page ) );
    }

    /**
     * Filters the document title.
     *
     * @since 4.4.0
     *
     * @param string $title The document title.
     * @param string $sep   The separator.
     */
    return apply_filters( 'wp_title', $title, '' );
}

这个函数根据当前页面类型（首页、文章、分类等等）生成默认的标题。核心逻辑就是一堆 if...elseif...else 判断，然后调用一些 WordPress 内置函数来获取相应的标题信息。

wp_title 过滤器的“妙用”

注意，函数最后一行使用了apply_filters( 'wp_title', $title, '' );。这就是 wp_title 过滤器的用武之地。它可以让你在WordPress生成最终的 <title> 标签之前，修改标题内容。

潜在的安全问题

如果没有适当的过滤，wp_title 过滤器可能会被滥用，导致以下安全问题：

XSS 攻击 (Cross-Site Scripting): 恶意用户可能会通过某种方式（比如评论、自定义字段等）将恶意 JavaScript 代码注入到你的网站标题中。当其他用户访问你的网站时，这些恶意代码就会在他们的浏览器中执行。
标题注入 (Title Injection): 攻击者可以注入垃圾关键词、广告链接或恶意链接到你的网站标题中，以此来破坏你的 SEO 或欺骗用户。
信息泄露: 在某些情况下，可能会泄露一些敏感信息。

如何利用 wp_title 过滤器“防狼”

现在，我们来学习如何使用 wp_title 过滤器来保护我们的网站标题。

清理 HTML 标签：

最基本也是最重要的，就是删除标题中的所有 HTML 标签。可以使用 strip_tags() 函数。
```
add_filter( 'wp_title', 'sanitize_title_tags', 10, 2 );
function sanitize_title_tags( $title, $sep ) {
    return strip_tags( $title );
}
```
这个函数会移除标题中所有的HTML标签。
转义 HTML 实体：

即使移除了 HTML 标签，攻击者仍然可以通过 HTML 实体注入恶意代码。例如，<script> 等同于 <script>。因此，我们需要将 HTML 实体转义为它们的字符表示形式。可以使用 esc_html() 函数。
```
add_filter( 'wp_title', 'sanitize_title_entities', 11, 2 ); // 注意优先级，要在 strip_tags 之后
function sanitize_title_entities( $title, $sep ) {
    return esc_html( $title );
}
```
esc_html()函数会将特殊字符转义成HTML实体，防止浏览器将其解析为代码。

限制标题长度：

长标题不仅影响用户体验，而且更容易被攻击者利用。可以限制标题的最大长度。

add_filter( 'wp_title', 'limit_title_length', 12, 2 );
function limit_title_length( $title, $sep ) {
    $max_length = 60; // 设置最大长度
    if ( mb_strlen( $title ) > $max_length ) {
        $title = mb_substr( $title, 0, $max_length ) . '...';
    }
    return $title;
}

这个函数会将标题截断到指定的最大长度，并在结尾添加省略号。

移除恶意关键词：

如果发现某些关键词被频繁注入到标题中，可以编写代码来移除它们。

add_filter( 'wp_title', 'remove_malicious_keywords', 13, 2 );
function remove_malicious_keywords( $title, $sep ) {
    $bad_words = array( 'viagra', 'casino', '...', '...' ); // 替换为实际的恶意关键词
    $title = str_ireplace( $bad_words, '', $title ); // 忽略大小写
    return $title;
}

这个函数会移除标题中指定的恶意关键词。

使用白名单：

如果能够确定标题中允许使用的字符或词语，可以使用白名单来过滤标题。这是一种更严格的安全措施，但需要更多的维护工作。

add_filter( 'wp_title', 'whitelist_title_characters', 14, 2 );
function whitelist_title_characters( $title, $sep ) {
    $allowed_characters = '/^[a-zA-Z0-9s-_!?:;,."']+$/u'; // 允许的字符
    if ( preg_match( $allowed_characters, $title ) ) {
        return $title;
    } else {
        return ''; // 如果包含不允许的字符，则返回空字符串
    }
}

这个函数使用正则表达式来检查标题是否只包含允许的字符。

检查 Referer：

虽然不是直接过滤标题内容，但是检查 HTTP Referer 可以帮助识别和阻止某些类型的攻击。如果 Referer 来自不信任的域名，可以采取一些措施，例如拒绝请求或记录日志。但请注意，Referer 可以被伪造，因此不能完全依赖它。
使用 nonce 验证：

如果标题内容是通过表单提交的（例如，在编辑文章时），可以使用 nonce 验证来确保请求来自你的网站，而不是恶意站点。

代码示例：整合多个过滤器的“终极防御”

下面是一个整合了多个过滤器的代码示例，可以提供更全面的安全保护。

add_filter( 'wp_title', 'sanitize_document_title', 10, 2 );

function sanitize_document_title( $title, $sep ) {
    // 1. 清理 HTML 标签
    $title = strip_tags( $title );

    // 2. 转义 HTML 实体
    $title = esc_html( $title );

    // 3. 限制标题长度
    $max_length = 60;
    if ( mb_strlen( $title ) > $max_length ) {
        $title = mb_substr( $title, 0, $max_length ) . '...';
    }

    // 4. 移除恶意关键词
    $bad_words = array( 'viagra', 'casino', '...', '...' ); // 替换为实际的恶意关键词
    $title = str_ireplace( $bad_words, '', $title );

    // 5. 白名单字符
    $allowed_characters = '/^[a-zA-Z0-9s-_!?:;,."']+$/u'; // 允许的字符
    if ( ! preg_match( $allowed_characters, $title ) ) {
        $title = ''; // 如果包含不允许的字符，则返回空字符串
    }

    return $title;
}

代码解释

add_filter( 'wp_title', 'sanitize_document_title', 10, 2 );：注册一个名为 sanitize_document_title 的函数来过滤 wp_title。 10 是优先级，2 是传递给函数的参数数量。
strip_tags( $title )：移除标题中的所有 HTML 标签。
esc_html( $title )：转义 HTML 实体。
限制标题长度：如果标题超过 60 个字符，则截断并添加省略号。
移除恶意关键词：移除标题中包含的恶意关键词。
白名单字符：只允许标题包含指定的字符。

表格总结：各种过滤器的优缺点

过滤器	优点	缺点	适用场景
`strip_tags()`	简单易用，有效防止 HTML 标签注入。	会移除所有 HTML 标签，可能影响某些特殊字符的显示。	适用于大多数场景，特别是当你不希望在标题中显示任何 HTML 标签时。
`esc_html()`	安全性高，将 HTML 实体转义为字符表示形式，防止浏览器解析为代码。	可能影响某些特殊字符的显示。	适用于需要防止 HTML 实体注入的场景。
限制标题长度	提高用户体验，防止标题过长影响显示效果。	可能会截断标题，影响信息的完整性。	适用于需要控制标题长度的场景，例如 SEO 优化。
移除恶意关键词	有效阻止恶意关键词注入，保护 SEO 和用户体验。	需要不断更新恶意关键词列表，维护成本较高。	适用于特定行业或主题的网站，例如赌博、色情等。
白名单字符	安全性最高，只允许标题包含指定的字符，有效防止各种类型的注入攻击。	需要仔细定义允许的字符集，可能会限制标题的表达能力。	适用于对安全性要求极高的场景，例如金融、政府等。
检查 HTTP Referer	可以在一定程度上识别和阻止恶意请求。	Referer 可以被伪造，不能完全依赖它。	适用于辅助性的安全措施，例如记录可疑请求。
使用 nonce 验证	确保请求来自你的网站，防止跨站请求伪造 (CSRF) 攻击。	需要在表单中添加 nonce 字段，并进行验证。	适用于通过表单提交标题内容的场景，例如编辑文章。

总结

wp_get_document_title() 函数是 WordPress 中一个重要的函数，用于生成网站的 <title> 标签。wp_title 过滤器为我们提供了一个强大的工具，可以用来修改标题内容，从而提高网站的安全性和用户体验。通过清理 HTML 标签、转义 HTML 实体、限制标题长度、移除恶意关键词、使用白名单等多种方法，我们可以有效地防止恶意攻击，保护我们的网站。

记住，安全是一个持续的过程，需要不断地学习和实践。希望今天的讲解能够帮助你更好地理解 wp_get_document_title() 函数和 wp_title 过滤器的使用，为你的网站保驾护航。

好了，今天的讲座就到这里，各位观众老爷，咱们下期再见！

发表回复 取消回复

发表回复取消回复