详细阐述 WordPress 的安全更新机制，特别是它如何通过 `update-core.php` 文件进行版本升级。 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

嘿，各位程序猿和媛们，以及未来即将成为代码大师的同学们，晚上好！我是你们今晚的安全更新讲师——老码农。今天咱们就来聊聊WordPress这个家伙，特别是它的安全更新机制，以及那个神秘的 update-core.php 文件。保证让大家听完之后，对WordPress的升级过程了如指掌，以后再也不用担心手抖点错按钮，导致网站崩溃了。

WordPress 安全更新：一场与漏洞的赛跑

话说WordPress，作为全球最流行的内容管理系统（CMS），简直就是黑客们眼中的一块肥肉。每天都有无数双眼睛盯着它，试图找到漏洞，然后大捞一笔。所以，WordPress的安全更新就显得尤为重要了。

WordPress的安全更新主要分为三类：

核心更新： 这是最大的更新，通常包含新的功能、性能改进和重要的安全修复。
插件更新： WordPress的插件生态非常庞大，插件的漏洞也是安全隐患的重灾区，所以插件更新也很关键。
主题更新： 虽然主题的主要功能是控制网站的外观，但主题的代码也可能存在漏洞，需要及时更新。

而我们今天的主角，就是核心更新。核心更新通常会修复一些严重的漏洞，这些漏洞可能允许黑客执行任意代码、篡改网站数据甚至完全控制你的服务器。所以，千万不要忽视核心更新！

update-core.php：升级的核心引擎

update-core.php 文件，就位于 wp-admin 目录下，是WordPress核心更新的关键引擎。它负责下载、解压、验证新的WordPress版本，并更新数据库。说白了，它就是个勤劳的搬运工和装修工，把你的旧房子（WordPress）升级成新房子。

更新流程概览

在深入代码之前，我们先来了解一下WordPress更新的大致流程：

检查更新： WordPress会定期检查是否有新的版本可用。这个检查是通过访问 api.wordpress.org 完成的，它会返回当前WordPress版本的信息以及是否有更新。
下载更新： 如果有新的版本可用，WordPress会下载新版本的压缩包。
解压更新： 下载完成后，WordPress会将压缩包解压到临时目录。
验证更新： WordPress会验证下载的压缩包是否完整，以及是否来自官方渠道，以防止恶意代码注入。
备份文件： 在更新之前，WordPress会尝试备份当前的文件和数据库，以防更新失败。
替换文件： WordPress会将新版本的文件复制到WordPress的安装目录，替换旧版本的文件。
更新数据库： 新版本的WordPress可能需要更新数据库结构，update-core.php 也会负责执行这些更新。
清理缓存： 更新完成后，WordPress会清理缓存，以确保网站正常运行。

代码剖析：update-core.php 的内部世界

现在，让我们深入 update-core.php 的代码，看看它是如何完成这些任务的。请注意，update-core.php 文件比较长，我们这里只提取一些关键的代码片段进行分析。

1. 检查更新：wp_version_check()

虽然 update-core.php 本身不直接负责检查更新，但它是更新流程的一部分。检查更新是由 wp-includes/update.php 中的 wp_version_check() 函数完成的。这个函数会定期（默认是每12小时）访问 api.wordpress.org，获取最新的WordPress版本信息。

// wp-includes/update.php (Simplified)
function wp_version_check() {
    global $wp_version, $wp_local_package;

    if ( isset( $wp_local_package ) ) {
        return;
    }

    $options = array(
        'timeout' => 3,
        'body' => array(
            'version' => $wp_version,
            'php' => phpversion(),
            'locale' => get_locale(),
            'mysql' => mysql_get_server_info(),
            'blogs' => get_blog_count(),
            'users' => $user_count,
            'multisite_enabled' => is_multisite(),
            'initial_db_version' => get_option( 'initial_db_version' ),
        )
    );

    $response = wp_remote_post( 'https://api.wordpress.org/core/version-check/1.7/', $options );

    // Process the response and update the 'update_core' option
}

这个函数会将当前WordPress的版本、PHP版本、MySQL版本等信息发送到WordPress官方服务器，然后官方服务器会返回一个包含更新信息的JSON数据。WordPress会将这些信息保存在 wp_options 表的 update_core 选项中。

2. 下载更新：WP_Upgrader::download_package()

update-core.php 使用 WP_Upgrader 类来处理更新的下载、解压和安装。WP_Upgrader::download_package() 方法负责下载更新包。

// wp-admin/includes/class-wp-upgrader.php (Simplified)
class WP_Upgrader {
    public function download_package( $package ) {
        if ( ! preg_match( '!^(http|https|ftp)://!', $package ) ) {
            return new WP_Error( 'insecure_package', __( 'The package URL is not valid.' ) );
        }

        $tmpfname = wp_tempnam( false, 'wp_update' );
        if ( ! $tmpfname ) {
            return new WP_Error( 'tmp_file_not_created', __( 'Could not create temporary file.' ) );
        }

        $response = wp_remote_get( $package, array( 'stream' => true, 'filename' => $tmpfname ) );

        if ( is_wp_error( $response ) ) {
            unlink( $tmpfname );
            return $response;
        }

        if ( 200 != wp_remote_retrieve_response_code( $response ) ) {
            unlink( $tmpfname );
            return new WP_Error( 'http_request_failed', __( 'HTTP request failed.' ) );
        }

        return $tmpfname;
    }
}

这个方法会使用 wp_remote_get() 函数下载指定的URL（通常是WordPress官方提供的更新包的URL）。它会将下载的文件保存到一个临时文件中，并返回临时文件的路径。

3. 解压更新：WP_Upgrader::unpack_package()

下载完成后，WP_Upgrader::unpack_package() 方法负责解压更新包。

// wp-admin/includes/class-wp-upgrader.php (Simplified)
class WP_Upgrader {
    public function unpack_package( $package, $delete_package = true ) {
        global $wp_filesystem;

        $destination = WP_CONTENT_DIR . '/upgrade/';

        $this->fs_init();

        if ( is_wp_error( $this->result ) ) {
            return $this->result;
        }

        $upgrade_folder = $wp_filesystem->wp_content_dir() . 'upgrade/';
        if ( ! $wp_filesystem->is_dir( $upgrade_folder ) ) {
            $wp_filesystem->mkdir( $upgrade_folder );
        }

        // Clean up contents of upgrade directory beforehand.
        $files = $wp_filesystem->dirlist( $upgrade_folder );
        if ( ! empty( $files ) ) {
            foreach ( $files as $file ) {
                $wp_filesystem->delete( $upgrade_folder . $file['name'], true );
            }
        }

        // Unzip package to upgrade folder.
        $result = unzip_file( $package, $destination );

        if ( $delete_package ) {
            unlink( $package );
        }

        return $result;
    }
}

这个方法会使用 unzip_file() 函数解压更新包到 wp-content/upgrade/ 目录下。在解压之前，它会清理这个目录，以确保没有旧的文件干扰更新过程。

4. 替换文件：WP_Upgrader::copy_files()

解压完成后，WP_Upgrader::copy_files() 方法负责将新版本的文件复制到WordPress的安装目录，替换旧版本的文件。

// wp-admin/includes/class-wp-upgrader.php (Simplified)
class WP_Upgrader {
    public function copy_files( $source, $destination, $overwrite = false ) {
        global $wp_filesystem;

        $this->fs_init();

        if ( is_wp_error( $this->result ) ) {
            return $this->result;
        }

        $source_files = array_diff( scandir( $source ), array( '.', '..' ) );

        if ( empty( $source_files ) ) {
            return new WP_Error( 'source_files_empty', __( 'Could not find any files in the temporary directory.' ) );
        }

        foreach ( $source_files as $file ) {
            $source_file = trailingslashit( $source ) . $file;
            $destination_file = trailingslashit( $destination ) . $file;

            if ( is_file( $source_file ) ) {
                if ( ! $overwrite && $wp_filesystem->exists( $destination_file ) ) {
                    continue;
                }

                if ( ! $wp_filesystem->copy( $source_file, $destination_file, $overwrite ) ) {
                    return new WP_Error( 'copy_failed', sprintf( __( 'Could not copy %1$s to %2$s.' ), $source_file, $destination_file ) );
                }
            } elseif ( is_dir( $source_file ) ) {
                if ( ! $wp_filesystem->is_dir( $destination_file ) ) {
                    if ( ! $wp_filesystem->mkdir( $destination_file ) ) {
                        return new WP_Error( 'mkdir_failed', sprintf( __( 'Could not create directory %s.' ), $destination_file ) );
                    }
                }

                $result = $this->copy_files( $source_file, $destination_file, $overwrite );
                if ( is_wp_error( $result ) ) {
                    return $result;
                }
            }
        }

        return true;
    }
}

这个方法会递归地复制源目录中的所有文件和目录到目标目录。它会检查目标文件是否已经存在，如果存在且 overwrite 参数为 false，则跳过复制。

5. 更新数据库：wp_upgrade()

在文件替换完成后，update-core.php 会调用 wp_upgrade() 函数来更新数据库。

// wp-admin/includes/upgrade.php
function wp_upgrade() {
    global $wp_db_version;

    $current_db_version = get_option( 'db_version' );

    if ( $current_db_version == $wp_db_version ) {
        return false;
    }

    // Run upgrade routines based on the current database version
    if ( version_compare( $current_db_version, '3.0', '<' ) ) {
        require_once( ABSPATH . 'wp-admin/includes/upgrade-3.0.php' );
        upgrade_300();
    }

    if ( version_compare( $current_db_version, '3.1', '<' ) ) {
        require_once( ABSPATH . 'wp-admin/includes/upgrade-3.1.php' );
        upgrade_310();
    }

    // ... and so on for each version

    update_option( 'db_version', $wp_db_version );
    update_option( 'initial_db_version', $wp_db_version );

    return true;
}

这个函数会检查当前的数据库版本和WordPress要求的数据库版本是否一致。如果不一致，它会根据数据库版本执行相应的升级脚本。这些升级脚本通常位于 wp-admin/includes/upgrade-*.php 文件中，它们会修改数据库结构、添加新的表或列，以及更新数据。

安全注意事项：防患于未然

虽然WordPress的安全更新机制已经相当完善，但我们仍然需要注意以下几点：

及时更新： 这是最重要的。一旦有新的更新可用，立即更新。不要拖延，不要侥幸。
使用强密码： 确保你的WordPress管理员账号使用强密码，并定期更换密码。
限制登录尝试： 使用插件或服务器配置来限制登录尝试次数，防止暴力破解。
安装安全插件： 安装一些安全插件，如Wordfence Security、Sucuri Security等，可以增强你的网站的安全性。
定期备份： 定期备份你的网站文件和数据库，以防万一发生意外。
谨慎使用插件和主题： 尽量选择来自官方或信誉良好的开发者提供的插件和主题。不要安装来路不明的插件和主题。
启用双因素认证： 为你的WordPress管理员账号启用双因素认证，即使密码泄露，黑客也无法登录你的网站。

常见问题解答：解决你的疑惑

发表回复 取消回复

发表回复取消回复