分析 WordPress `wp_salt` 常量在 `wp-config.php` 中的源码：它如何与 Cookie 绑定以增强安全性。

WordPress 安全小讲堂：盐与 Cookie 的爱恨情仇

各位观众，晚上好！我是你们今晚的向导，来聊聊 WordPress 那点儿安全的事儿。今天的主题是 wp-config.php 里的 wp_salt 常量，以及它如何与 Cookie 紧密合作，共同守护你的网站。

别看 wp_salt 名字平平无奇，它可是 WordPress 安全体系中的重要一环。没有它，你的网站就相当于没锁门的银行金库，谁都能进去溜达一圈。

wp_salt 是什么？为什么需要它？

简单来说，wp_salt 是一组随机生成的字符串。它被用来加盐（salt）WordPress 用来存储用户密码的哈希值，以及加密 Cookie。

先说说密码加盐。

咱们都知道，用户密码不能明文存储在数据库里，不然数据库一旦泄露，所有用户的密码就都暴露了。所以，WordPress 会对密码进行哈希（Hash）处理，生成一串看似随机的字符串，再把这串字符串存到数据库里。

但是，单纯的哈希处理也存在风险。如果攻击者使用“彩虹表”（一种预先计算好的哈希值对应表）来反查哈希值，就有可能破解用户的密码。

这时候，wp_salt 就派上用场了。它就像一撮盐，在哈希之前混入密码里。即使两个用户使用了相同的密码，由于盐的不同，最终生成的哈希值也会不同。这样，彩虹表就失效了。

举个例子：

假设用户的密码是 "password"，没有盐的情况下，经过哈希处理后可能是 "e5e9fa1ba31ecd1ae84f75caaa474f3a663f05f4"。

现在，我们加上盐，假设 wp_salt 是 "salty_string"，那么哈希过程就变成了：

hash("salty_string" . "password")

最终生成的哈希值可能就变成了 "8f9a7c3b2d1e0f5a4b6c7d8e9a0b1c2d3e4f5a6b"。

可以看出，即使密码相同，加盐后的哈希值也完全不同。

再聊聊 Cookie 加密。

WordPress 使用 Cookie 来跟踪用户的登录状态。Cookie 里存储着一些信息，比如用户的 ID、用户名等。为了防止 Cookie 被篡改，WordPress 会对 Cookie 进行加密。wp_salt 就是加密 Cookie 的关键。

如果没有 wp_salt，攻击者可以轻易地伪造 Cookie，冒充用户登录网站。

wp_salt 在 wp-config.php 中的定义

wp_salt 的定义通常在 wp-config.php 文件中，看起来是这样的：

define( 'AUTH_KEY',         'put your unique phrase here' );
define( 'SECURE_AUTH_KEY',  'put your unique phrase here' );
define( 'LOGGED_IN_KEY',    'put your unique phrase here' );
define( 'NONCE_KEY',        'put your unique phrase here' );
define( 'AUTH_SALT',        'put your unique phrase here' );
define( 'SECURE_AUTH_SALT', 'put your unique phrase here' );
define( 'LOGGED_IN_SALT',   'put your unique phrase here' );
define( 'NONCE_SALT',       'put your unique phrase here' );

实际上，这里定义了八个常量，通常统称为“密钥（Keys）”或“盐（Salts）”。它们的作用类似，都用于增强安全性，只是应用场景略有不同。

• AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY: 用于生成安全哈希，增强用户认证过程的安全性。
• AUTH_SALT, SECURE_AUTH_SALT, LOGGED_IN_SALT, NONCE_SALT: 作为盐值，混入哈希过程中，增加破解难度。

重要提示： 这些常量的值必须是随机且唯一的字符串。WordPress 官方提供了一个密钥生成器，可以帮你生成这些值： https://api.wordpress.org/secret-key/1.1/salt/

wp_salt 如何与 Cookie 绑定？

WordPress 通过 wp_hash() 函数来使用这些盐值。 wp_hash() 函数接受一个字符串和一个操作类型作为参数，然后根据操作类型和盐值生成一个哈希值。

以下是一些关键的 WordPress 函数，它们使用 wp_hash() 和盐值来增强 Cookie 的安全性：

• wp_set_auth_cookie(): 设置认证 Cookie。这个函数会使用 AUTH_KEY 和 AUTH_SALT 来生成 Cookie 的哈希值，确保 Cookie 的真实性。
• wp_validate_auth_cookie(): 验证认证 Cookie。这个函数会使用相同的盐值和算法来重新生成 Cookie 的哈希值，然后与 Cookie 中存储的哈希值进行比较。如果两者一致，说明 Cookie 是有效的，否则说明 Cookie 可能被篡改。
• wp_generate_auth_cookie(): 生成用于存储在Cookie中的认证数据。它会整合用户ID、过期时间以及使用密钥和盐生成的哈希值。

让我们深入代码看看：

虽然直接追踪到每一个常量被使用的具体位置可能比较繁琐，但可以通过分析相关函数来理解它们的作用。

例如，wp_set_auth_cookie() 函数（位于 wp-includes/pluggable.php）大致流程如下：

1. 接收用户 ID、记住我（Remember Me）选项等参数。
2. 计算 Cookie 的过期时间。
3. 使用 wp_generate_auth_cookie() 生成 Cookie 的值。
4. 设置 Cookie。

关键在于 wp_generate_auth_cookie() 函数：

function wp_generate_auth_cookie( $user_id, $expiration, $scheme = 'auth' ) {
    $user = get_userdata( $user_id );
    $pass_frag = substr( $user->user_pass, 8, 4 );

    $key = wp_hash( $user->ID . '|' . $pass_frag . '|' . $expiration . '|' . $scheme, $scheme );

    $auth_cookie = $user->ID . '|' . $expiration . '|' . $key;

    return $auth_cookie;
}

在这个函数中，wp_hash() 函数被调用，并传入 $scheme 参数。 $scheme 参数决定了使用哪个盐值（AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY）和盐（AUTH_SALT, SECURE_AUTH_SALT, LOGGED_IN_SALT, NONCE_SALT）。

wp_hash() 函数的简化版本大致如下：

function wp_hash( $data, $scheme = 'auth' ) {
    $salt = '';

    switch ( $scheme ) {
        case 'auth':
            $salt = AUTH_SALT;
            break;
        case 'secure_auth':
            $salt = SECURE_AUTH_SALT;
            break;
        case 'logged_in':
            $salt = LOGGED_IN_SALT;
            break;
        case 'nonce':
            $salt = NONCE_SALT;
            break;
        default:
            $salt = AUTH_SALT;
            break;
    }

    return hash_hmac( 'md5', $data, $salt );
}

可以看到，wp_hash() 函数根据 $scheme 参数选择不同的盐值，然后使用 hash_hmac() 函数生成哈希值。hash_hmac() 函数使用密钥（这里是盐值）对数据进行哈希，提供更高的安全性。

总结一下：

1. 当用户登录时，WordPress 使用 wp_generate_auth_cookie() 函数生成一个包含用户 ID、过期时间和哈希值的 Cookie。
2. 哈希值是通过 wp_hash() 函数使用 wp_salt 对一些关键数据进行加密生成的。
3. 当用户访问网站时，WordPress 使用 wp_validate_auth_cookie() 函数验证 Cookie 的有效性。
4. wp_validate_auth_cookie() 函数会使用相同的盐值和算法重新生成哈希值，然后与 Cookie 中存储的哈希值进行比较。
5. 如果两个哈希值一致，说明 Cookie 是有效的，用户可以继续访问网站。否则，用户需要重新登录。

为什么要有多个 wp_salt？

你可能注意到，wp-config.php 文件中定义了多个 wp_salt 常量。这是因为不同的 Cookie 需要不同的盐值，以防止攻击者利用一个 Cookie 的漏洞来攻击其他 Cookie。

• AUTH_KEY 和 AUTH_SALT: 用于普通的认证 Cookie，例如用户登录后设置的 Cookie。
• SECURE_AUTH_KEY 和 SECURE_AUTH_SALT: 用于 HTTPS 连接下的认证 Cookie，提供更高的安全性。
• LOGGED_IN_KEY 和 LOGGED_IN_SALT: 用于记住我（Remember Me）功能的 Cookie，允许用户在关闭浏览器后仍然保持登录状态。
• NONCE_KEY 和 NONCE_SALT: 用于生成一次性使用的令牌（Nonce），防止跨站请求伪造（CSRF）攻击。

不同的 wp_salt 就像不同的锁，保护着不同的房间，即使一个房间被攻破，其他房间仍然是安全的。

如何正确设置 wp_salt？

1. 使用 WordPress 密钥生成器。 不要自己随意生成字符串，使用官方提供的密钥生成器可以确保生成的值是随机且安全的。
2. 定期更换 wp_salt。 虽然更换 wp_salt 会导致所有用户退出登录，但定期更换可以提高安全性。你可以使用 WordPress 插件或手动编辑 wp-config.php 文件来更换 wp_salt。
3. 保护 wp-config.php 文件。 wp-config.php 文件包含了网站的敏感信息，包括数据库连接信息和 wp_salt。确保这个文件只能被授权用户访问。通常，将 wp-config.php 文件放在网站根目录之外，可以提高安全性。
4. 不要在版本控制系统中提交 wp-config.php 文件。 避免将包含敏感信息的 wp-config.php 文件提交到 Git 仓库等版本控制系统中。

友情提示： 更换 wp_salt 后，所有用户的 Cookie 将失效，用户需要重新登录。

代码示例：模拟 Cookie 生成和验证过程

为了更好地理解 wp_salt 的作用，我们可以模拟一下 Cookie 的生成和验证过程。

<?php

// 假设的 wp_salt 常量
define( 'AUTH_SALT', 'your_unique_auth_salt_string' );

// 模拟用户数据
$user_id = 123;
$user_pass = 'hashed_password_from_database'; // 数据库中存储的哈希密码
$expiration = time() + ( 2 * HOUR_IN_SECONDS ); // 2 小时后过期
$scheme = 'auth';

// 模拟 wp_hash() 函数
function simulate_wp_hash( $data, $scheme = 'auth' ) {
    $salt = '';

    switch ( $scheme ) {
        case 'auth':
            $salt = AUTH_SALT;
            break;
        default:
            $salt = AUTH_SALT;
            break;
    }

    return hash_hmac( 'md5', $data, $salt );
}

// 模拟 wp_generate_auth_cookie() 函数
function simulate_wp_generate_auth_cookie( $user_id, $expiration, $scheme = 'auth' ) {
    $pass_frag = substr( 'hashed_password_from_database', 8, 4 ); // 模拟从用户数据中获取密码片段
    $key = simulate_wp_hash( $user_id . '|' . $pass_frag . '|' . $expiration . '|' . $scheme, $scheme );

    $auth_cookie = $user_id . '|' . $expiration . '|' . $key;

    return $auth_cookie;
}

// 模拟设置 Cookie
$auth_cookie_value = simulate_wp_generate_auth_cookie( $user_id, $expiration, $scheme );
//setcookie( 'wordpress_auth', $auth_cookie_value, $expiration );  //  这行代码会真正设置 Cookie，这里只是模拟

echo "生成的 Cookie 值: " . $auth_cookie_value . "n";

// 模拟验证 Cookie
function simulate_wp_validate_auth_cookie( $auth_cookie, $scheme = 'auth' ) {
    if ( empty( $auth_cookie ) ) {
        return false;
    }

    $cookie_elements = explode( '|', $auth_cookie );

    if ( count( $cookie_elements ) !== 3 ) {
        return false;
    }

    list( $user_id, $expiration, $hmac ) = $cookie_elements;

    if ( $expiration < time() ) {
        return false; // Cookie 已过期
    }

    $pass_frag = substr( 'hashed_password_from_database', 8, 4 ); // 同样需要从数据库中获取密码片段

    $key = simulate_wp_hash( $user_id . '|' . $pass_frag . '|' . $expiration . '|' . $scheme, $scheme );

    if ( hash_equals( $hmac, $key ) ) {
        return $user_id; // Cookie 有效，返回用户 ID
    } else {
        return false; // Cookie 无效
    }
}

// 模拟从 $_COOKIE 数组中获取 Cookie 值
$received_cookie = $auth_cookie_value; // 假设收到的 Cookie 值与生成的 Cookie 值相同

$validated_user_id = simulate_wp_validate_auth_cookie( $received_cookie, $scheme );

if ( $validated_user_id ) {
    echo "Cookie 验证成功！用户 ID: " . $validated_user_id . "n";
} else {
    echo "Cookie 验证失败！n";
}

?>

这个代码示例模拟了 Cookie 的生成和验证过程。它使用了 AUTH_SALT 常量来生成 Cookie 的哈希值，并使用 hash_equals() 函数来比较哈希值，确保 Cookie 的真实性。

注意： 这只是一个简化的示例，实际的 WordPress 代码要复杂得多。

总结

wp_salt 是 WordPress 安全体系中的重要一环，它通过加盐密码和加密 Cookie 来增强网站的安全性。正确设置和保护 wp_salt 可以有效地防止密码泄露和 Cookie 篡改等攻击。

记住，安全无小事。希望今天的讲解能帮助你更好地理解 wp_salt 的作用，并采取必要的措施来保护你的 WordPress 网站。下次见！