WordPress源码深度解析之：`WordPress`的`Salt`与安全：`SALTS`在密码验证中的作用。

各位听众，老司机发车了！今天咱们来聊聊WordPress的安全防护，特别是那几个神神秘秘的SALTS，看看它们在密码验证里头到底扮演着啥角色。别怕，保证通俗易懂，咱们边撸代码边唠嗑。

一、啥是Salt？为什么要Salt？

首先，得明确一个概念：啥是Salt？简单来说，Salt就是一串随机字符串。这串字符串可不是随便加进去的，它的作用是给密码“加盐”，让原本简单的密码变得更复杂，更难破解。

为啥要加盐？这就要说到密码存储的安全问题了。通常情况下，网站不会直接存储用户的明文密码，而是存储密码的哈希值。哈希算法是一种单向散列函数，可以把任意长度的输入转换成固定长度的输出，而且这个过程是不可逆的。也就是说，知道哈希值很难反推出原始密码。

但即使是哈希值，也存在被破解的风险。最常见的攻击方式就是“彩虹表”攻击。彩虹表预先计算了大量常用密码的哈希值，攻击者只需要把数据库里的哈希值和彩虹表里的哈希值进行比对，就能找到对应的密码。

所以，为了防止彩虹表攻击，就需要给密码“加盐”。加盐后的密码哈希值，即使和彩虹表里的哈希值一样，也无法直接对应到原始密码，因为彩虹表没有包含加盐后的哈希值。

二、WordPress里的SALTS：不仅仅是加盐

在WordPress里，SALTS不仅仅是给密码加盐这么简单，它们还被用于生成cookie，加密其他数据等等。SALTS定义在wp-config.php文件中，包括以下几个常量：

• AUTH_KEY
• SECURE_AUTH_KEY
• LOGGED_IN_KEY
• NONCE_KEY
• AUTH_SALT
• SECURE_AUTH_SALT
• LOGGED_IN_SALT
• NONCE_SALT

这些常量的值都是随机生成的字符串，而且强烈建议定期更换。

三、SALTS在密码验证中的作用：步步解析

现在，咱们来看看SALTS在WordPress的密码验证过程中到底起到了什么作用。

1. 用户注册：密码哈希与加盐

当用户注册时，WordPress会使用wp_hash_password()函数来对密码进行哈希和加盐。这个函数会使用PHP内置的password_hash()函数，它会自动生成一个随机的salt，并将其包含在哈希值中。 以下是一个简化的示例，帮助理解这个过程：

function my_wp_hash_password( $password ) {
    // 使用 password_hash 函数，自动生成 salt 并包含在哈希值中
    $hash = password_hash( $password, PASSWORD_DEFAULT );

    return $hash;
}

// 示例用法
$password = 'MySecretPassword123';
$hashed_password = my_wp_hash_password( $password );

echo "原始密码: " . $password . "n";
echo "加盐哈希后的密码: " . $hashed_password . "n";

这个password_hash()会自动生成salt，并且将salt信息嵌入到生成的哈希字符串中。 WordPress实际使用时，对其进行了封装，但原理类似。

2. 用户登录：密码验证

用户登录时，WordPress会使用wp_check_password()函数来验证用户输入的密码是否正确。这个函数会从数据库中取出用户的密码哈希值，然后使用password_verify()函数来验证用户输入的密码和哈希值是否匹配。password_verify()函数会自动从哈希值中提取salt，并用它来哈希用户输入的密码，然后和数据库中的哈希值进行比较。

function my_wp_check_password( $password, $hash ) {
    // 使用 password_verify 函数，自动提取 salt 并进行验证
    $result = password_verify( $password, $hash );

    return $result;
}

// 示例用法
$password = 'MySecretPassword123';
$hashed_password = '$2y$10$exampleSaltExampleSaltExampleSaltExampleSu'; // 假设这是数据库中存储的哈希值

$is_valid = my_wp_check_password( $password, $hashed_password );

if ( $is_valid ) {
    echo "密码验证成功！n";
} else {
    echo "密码验证失败！n";
}

password_verify()函数会做两件事：

• 从 $hash 中提取嵌入的 salt。
• 使用提取的 salt 对用户输入的 $password 进行哈希。
• 将新生成的哈希值与 $hash 进行比较。

如果两者匹配，说明密码正确，否则密码错误。

3. Cookie生成与验证

WordPress 使用cookie来保存用户的登录状态。这些cookie的生成和验证过程也离不开SALTS。AUTH_KEY，SECURE_AUTH_KEY，LOGGED_IN_KEY和对应的SALT被用来生成和验证cookie，防止cookie被篡改。以下是一个简化的示例：

// 假设我们有一些用户信息，比如用户ID
$user_id = 123;
$username = 'example_user';

// 使用 AUTH_KEY 和 AUTH_SALT 来生成一个简单的哈希
$auth_key = 'YOUR_AUTH_KEY'; // 替换为你的 AUTH_KEY
$auth_salt = 'YOUR_AUTH_SALT'; // 替换为你的 AUTH_SALT

// 合并用户信息和密钥，然后计算哈希值
$string_to_hash = $user_id . $username . $auth_key . $auth_salt;
$cookie_hash = hash('sha256', $string_to_hash);

// 创建 cookie 值
$cookie_value = $user_id . '|' . $username . '|' . $cookie_hash;

echo "生成的 Cookie 值: " . $cookie_value . "n";

// 验证 Cookie 的函数
function verifyCookie($cookie_value, $auth_key, $auth_salt) {
    // 分解 Cookie 值
    list($user_id, $username, $cookie_hash) = explode('|', $cookie_value);

    // 重新计算哈希值
    $string_to_hash = $user_id . $username . $auth_key . $auth_salt;
    $expected_hash = hash('sha256', $string_to_hash);

    // 比较哈希值
    if ($cookie_hash === $expected_hash) {
        return true; // Cookie 有效
    } else {
        return false; // Cookie 无效
    }
}

// 示例：验证 Cookie
$is_valid = verifyCookie($cookie_value, $auth_key, $auth_salt);

if ($is_valid) {
    echo "Cookie 验证成功！n";
} else {
    echo "Cookie 验证失败！n";
}

这段代码演示了如何使用AUTH_KEY和AUTH_SALT来创建一个简单的cookie，并验证它的有效性。 实际WordPress的cookie机制要复杂得多，它使用多个SALTS，并且会定期更新cookie，以提高安全性。

4. Nonce验证

Nonce（Number used once）是一种用于防止CSRF（跨站请求伪造）攻击的安全令牌。WordPress使用NONCE_KEY和NONCE_SALT来生成和验证nonce值。Nonce可以确保用户发起的请求确实是由用户本人发起的，而不是由恶意网站伪造的。

function my_wp_create_nonce( $action = -1 ) {
    $i = wp_nonce_tick();

    // 使用 NONCE_KEY 和 NONCE_SALT
    $nonce_key = 'YOUR_NONCE_KEY';
    $nonce_salt = 'YOUR_NONCE_SALT';

    return substr( hash( 'sha256', $i . $action . $nonce_key . $nonce_salt . get_current_user_id() ), -12, 10 );
}

/**
 * 验证 Nonce
 *
 * @param string $nonce  要验证的 Nonce
 * @param string $action Nonce 对应的 Action
 *
 * @return bool  Nonce 是否有效
 */
function my_wp_verify_nonce( $nonce, $action = -1 ) {
    $i = wp_nonce_tick();

    // 使用 NONCE_KEY 和 NONCE_SALT
    $nonce_key = 'YOUR_NONCE_KEY';
    $nonce_salt = 'YOUR_NONCE_SALT';

    $expected = substr( hash( 'sha256', $i . $action . $nonce_key . $nonce_salt . get_current_user_id() ), -12, 10 );
    if ( hash_equals( $expected, $nonce ) ) {
        return 1;
    }

    $expected = substr( hash( 'sha256', ( $i - 1 ) . $action . $nonce_key . $nonce_salt . get_current_user_id() ), -12, 10 );
    if ( hash_equals( $expected, $nonce ) ) {
        return 2;
    }

    return false;
}

/**
 * 获取 Nonce Tick
 *
 * Nonce 的有效期是有限的，这个函数用来生成一个时间戳相关的数字，
 * 用于 Nonce 的生成和验证。
 *
 * @return int  Nonce Tick
 */
function wp_nonce_tick() {
    $nonce_life = DAY_IN_SECONDS;
    return ceil(time() / ( $nonce_life / 2 ));
}

function get_current_user_id() {
    // 在实际的 WordPress 环境中，这个函数会返回当前用户的 ID
    // 这里为了演示，直接返回一个固定的值
    return 1;
}

// 示例用法：

$action = 'my_custom_action'; // 定义一个 Action
$nonce = my_wp_create_nonce( $action ); // 创建 Nonce

echo "生成的 Nonce: " . $nonce . "n";

// 模拟用户提交请求，并验证 Nonce
$is_valid = my_wp_verify_nonce( $nonce, $action );

if ( $is_valid ) {
    echo "Nonce 验证成功！n";
} else {
    echo "Nonce 验证失败！n";
}

四、SALTS的重要性：不只是密码安全

通过上面的分析可以看出，SALTS在WordPress的安全体系中扮演着非常重要的角色。它们不仅用于保护密码安全，还用于生成和验证cookie，防止CSRF攻击，保证用户登录状态的安全性。

如果SALTS泄露或者被破解，攻击者就可以伪造cookie，冒充用户登录，或者发起CSRF攻击，篡改网站数据。因此，保护SALTS的安全至关重要。

五、SALTS的最佳实践：安全第一

为了确保SALTS的安全，建议采取以下措施：

• 使用强随机字符串： SALTS的值必须是强随机字符串，可以使用在线的随机字符串生成器，或者使用PHP的random_bytes()函数来生成。
• 定期更换SALTS： 定期更换SALTS可以防止攻击者利用已经泄露的SALTS进行攻击。建议至少每隔三个月更换一次SALTS。
• 保护wp-config.php文件： wp-config.php文件包含了SALTS等敏感信息，必须采取措施保护该文件，例如限制文件访问权限，禁止通过web访问该文件。
• 不要在版本控制系统中存储wp-config.php文件： 不要将包含SALTS的wp-config.php文件提交到Git等版本控制系统中，以防止SALTS泄露。
• 使用HTTPS： 使用HTTPS可以加密HTTP请求，防止攻击者通过中间人攻击窃取SALTS。

六、总结：安全无小事

总而言之，SALTS是WordPress安全防护的重要组成部分。虽然它们看起来不起眼，但却在密码验证、cookie生成、Nonce验证等多个环节发挥着关键作用。重视SALTS的安全，采取有效的保护措施，才能确保WordPress网站的安全可靠。

希望今天的讲解对大家有所帮助。记住，安全无小事，防患于未然！ 下次有机会再和大家深入探讨WordPress的其他安全问题。 感谢各位的收听！