Jak zasugerowałem w tym pytaniu , dodaję ten temat jako nowe pytanie do dyskusji społeczności / głosowania na temat najlepszych praktyk w zakresie bezpieczeństwa wtyczek / motywów.

Oto początkowa lista kontrolna, oparta na moich bieżących (w toku) ustawieniach / liście kontrolnej bezpieczeństwa danych używanych do przeglądania Motywów (zasady nie powinny się różnić dla Wtyczek niż dla Motywów).

Jeśli chcesz sprawdzić motyw z bezpieczną i solidnie zakodowaną stroną ustawień motywu, sprawdź ten motyw:
http://wordpress.org/extend/themes/coraline

Użyj Nonces (gdy nie używasz API ustawień)

Wtyczki i motywy powinny jawnie zapewniać sprawdzanie wartości nonce na stronie ustawień, jeśli nie używa interfejsu API ustawień:

• WordPress Nonces (Codex)
• WordPress Nonces (Mark Jaquith)
• Poprawa bezpieczeństwa we wtyczkach WordPress za pomocą Nonces (Vladimir Prelovac)
• 5 porad dotyczących korzystania z AJAX w WordPress> 3. Użyj nonces i sprawdź, czy masz pozwolenie (Gary Cao)

Oczyść, zweryfikuj i usuń dane

Wyczyść wszystko, co mogłoby dostać się do bazy danych (!) I wyjść z niej zarówno!

Wtyczki i motywy powinny poprawnie sprawdzać poprawność danych:

1. Sprawdź poprawność i odkaż wszystkie niezaufane dane przed wprowadzeniem danych do bazy danych
2. Usuń wszystkie niezaufane dane, zanim zostaną wydrukowane w polach formularza Ustawienia

3. Usuń wszystkie niezaufane dane, zanim zostaną wydrukowane w plikach szablonów kompozycji

   • Walidacja danych (Codex)

Wtyczki i motywy powinny być używane esc_attr()do wprowadzania tekstu i / esc_html()lub esc_textarea()do obszarów tekstowych.

Dostępny również z API WordPress jest esc_url(), esc_url_raw(), esc_js()i wp_filter_kses().

Zły przykład:

<?php $url = 'javascript:pwnd()'; ?>
<a href="<?php echo $url; ?>">anchor</a>

Dobry przykład:

<a href="<?php echo esc_url($url); ?>">anchor</a>

Oto świetne wideo Marka Jaquitha wyjaśniające użycie funkcji zmiany znaczenia:

• Bezpieczeństwo motywów i wtyczek

Używaj tylko $ _GET / $ _POST / $ _REQUEST ostrożnie, gdy lepsze interfejsy API są niedostępne

Wtyczki i motywy powinny używać ustawień API, aby uzyskać i zapisać dane wejściowe forma zamiast polegać na $_POSTi $_REQUESTdane bezpośrednio.

Posługiwać się $wpdb->prepare

Podczas budowania niestandardowych zapytań za pomocą $wpdbobiektu zawsze używaj $wpdb->preparedo wypełniania symboli zastępczych wartościami zamiast zapisywania zapytań danymi pomieszanymi z kodem SQL, ponieważ mysql_*funkcje rodziny źle nauczyły wszystkich.

Uważaj na funkcje PHP, które mogą być użyte do uruchamiania złośliwego kodu

Miłej lektury dla każdego, kto pisze PHP: Funkcje PHP do wykorzystania na StackOverflow.

Użyj interfejsu API modyfikacji motywów

Motywy powinny używać set_theme_mod()i powiązanych funkcji, a nie wymyślonego przez siebie schematu nazw.
Theme_mod API to specjalna warstwa dla interfejsu API ustawień; gwarantuje unikalne nazwy, umieszcza wszystkie opcje w jednej tablicy i - z mojego doświadczenia - jest o wiele łatwiejszy w obsłudze. Ponadto oferuje znormalizowane filtry dla wtyczek - co jest dobre dla interoperacyjności.

Unikaj włączone register_globals

Nie polegaj na register_globals = on. Pro Theme który kupił mój ostatni klient robi dokładnie to. Mogę
zhakować dowolną witrynę przy użyciu tego motywu w 5 minut… ThimbThumb też to zrobił (i nadal tak robi?).

Nie twórz plików z niepotrzebnymi szerokimi uprawnieniami dostępu

Nie twórz plików ze zbyt swobodnymi uprawnieniami dostępu.

Użyj protokołu SSL, jeśli jest dostępny

Skieruj swój udział na Twitterze / Facebooku / Cokolwiek linki do URI HTTPS, jeśli są dostępne. Ważne jest także bezpieczeństwo czytelnika.

Zapisz dane w jednej tablicy

Wtyczki i motywy powinny zapisywać opcje w jednej tablicy, zamiast tworzyć wiele opcji dla strony ustawień. Skorzystałby z tego interfejs API ustawień.

Sprawdź odpowiednie możliwości podczas dodawania i wysyłania stron ustawień

Wtyczki powinny korzystać z odpowiednich możliwości (np. manage_options), Aby móc dodać stronę ustawień.

Motywy powinny być używane edit_theme_optionsjako odpowiednia możliwość dodania strony ustawień.

• Role i możliwości (Kodeks)

Korzystaj z aktualnych samouczków i informacji

Wtyczki i motywy powinny celowo wdrażać strony opcji i ustawień, a nie polegać na nieaktualnych samouczkach kopiowania i wklejania stron internetowych, które nie obejmują odpowiedniego bezpieczeństwa danych, takich jak te wymienione poniżej.

Przykłady tego, czego nie należy robić :

• Jak utworzyć stronę opcji dla motywu Wordpress (1stwebdesigner.com)

• Utwórz niesamowitą stronę z opcjami motywu WordPress, część 1 (wpshout.com)

Użyj interfejsu API ustawień

Wtyczki i motywy powinny korzystać z interfejsu API ustawień, który jest łatwiejszy w użyciu, bezpieczniejszy i zajmuje dużo pracy na stronach ustawień:

• Ustawienia API (Codex)

Dobre samouczki na temat używania interfejsu API ustawień można znaleźć w:

• Włączanie interfejsu API ustawień w motywach WordPress (Chip Bennett)
• Obsługa opcji wtyczek w WordPressie za pomocą register_setting () (Ozh Richard)
• Samouczek API ustawień WordPress (Otto)

Do wyboru i wybierz Opcje, wtyczki i motywy powinny używać checked()i selected()funkcje do wyprowadzania checked="checked"i selected="selected"odpowiednio.

Prefiks nazwy funkcji i zmiennych

Wtyczki powinny poprzedzać wszystkie opcje, funkcje niestandardowe, zmienne niestandardowe i stałe niestandardowe wtyczką.

Motywy powinny poprzedzać wszystkie opcje, funkcje niestandardowe, zmienne niestandardowe i stałe niestandardowe hasłem motywu.

Użyj polecenia wp_safe_redirect () zamiast wywoływać funkcję PHP (header) bezpośrednio podczas przekierowywania na stronę w tej samej domenie.

Dodaj strony ustawień do odpowiednich sekcji menu administratora

Wtyczki powinny korzystać z tej add_options_page()funkcji, aby dodać stronę ustawień wtyczek do Settingsmenu, zamiast add_menu_page()dodawać menu najwyższego poziomu.

Motywy powinny używać tej add_theme_page()funkcji, aby dodać stronę ustawień motywu do Appearancemenu, zamiast add_menu_page()dodawać menu najwyższego poziomu.