WordPress安全运维，后台记录用户注册、最后登录的IP地址的信息
WordPress用户必然会碰到的一个问题，是各种注册、评论机器人会扫描你的网站，并试图发布垃圾评论和文章。而对于多用户的网站，我偶尔会碰到一些有发布权限的用户被泄露了账号密码后，账号就被这些机器人利用起来，在网站发布广告、甚至是违禁内容，如果不是第一时间发现并清理，还可能导致网站被搜索引擎甚至监管部门惩罚，后果严重。通常对于比较重要的网站，你也可以安装Wordfence插件获取一定的保护，但这会牺牲一些服务器资源，导致网站变慢。除此之外，我推荐的一个比较有效的方式是屏蔽那些会在你网站发布垃圾内容的IP地址，把这些IP地址通过服务器的iptables或者服务商后台的IP黑名单（比如加入阿里云的云盾）来屏蔽。那么问题来了，怎样获取这些IP地址呢？对于发布垃圾评论的IP地址，这是比较容易的，WordPress后台会记录每条评论发出的IP地址。而对于被泄露账户的用户，收集他们的IP地址则需要添加一些代码来做到了。我通过给用户增加2个字段，“signup_ip”和“last_login_ip”来获取需要的信息，代码如下//用户注册时的IP地址function brain1981_register_ip($user_id){
$ip = $_SERVER['REMOTE_ADDR'];
update_user_meta($user_id, 'signup_ip', $ip);
}
add_action('user_register', 'brain1981_register_ip');
//用户上一次登录的IP地址
function brain1981_last_login_ip( $user_login, $user ) {
$ip = $_SERVER['REMOTE_ADDR'];
update_user_meta($user->ID, 'last_login_ip', $ip);
}
add_action('wp_login', 'brain1981_last_login_ip', 10, 2);
//后台增加用户注册时间排序
function brain1981_users_columns( $columns ) {
$columns['registerdate'] = 'Registered';
return $columns;
}
add_filter( 'manage_users_columns', 'brain1981_users_columns');
//在列表显示这些信息
function brain1981_users_custom_column( $value, $column_name, $user_id ) {
if ( 'registerdate' != $column_name ) {
return $value;
} else {
$user = get_userdata( $user_id );
$signup_ip = get_user_meta($user_id, 'signup_ip', true);
if ($signup_ip == ""){ $signup_ip = '<em>N/A</em>'; }
$last_login_ip = get_user_meta($user_id, 'last_login_ip', true);
if ($last_login_ip == ""){ $last_login_ip = '<em>N/A</em>'; }
$formated_date = __( 'Y/m/d g:i:s' );
$registered = strtotime( get_date_from_gmt( $user->user_registered ) );
$registerdate = '<span>'. date_i18n( $formated_date, $registered ) .'</span><br/>Signup IP:'.$signup_ip.'<br/>Last Login IP:'.$last_login_ip ;
return $registerdate;
}
}
add_action( 'manage_users_custom_column', 'brain1981_users_custom_column', 10, 3);
//使这一栏可以参与后台排序，通过用户注册时间排序
function brain1981_users_sortable_columns( $columns ) {
$custom = array(
'registerdate' => 'registered',
);
return wp_parse_args( $custom, $columns );
}
add_filter( 'manage_users_sortable_columns', 'brain1981_users_sortable_columns' );
这样后台就会列出这些信息了。注册时间可以直接显示出来，因为WP本身有记录，但是IP地址则是需要用户新注册和下次登录才会有了，因为这些都是当前才开始记录的数据 。获取这些IP后，如果发现这个用户会发垃圾内容，判断Ta的账号有问题，就可以屏蔽上次登录的IP和他的权限。需要通知他可能在网上的各种账号都已有被泄露的风险，通常是被撞库了，一定要立即修改密码。对于访问量比较大的网站，甄别出来的机器人IP我通常是逐条屏蔽，
页:
[1]