이 질문에서 제안한 것처럼 플러그인 / 테마 보안에 대한 모범 사례에 관한 커뮤니티 토론 / 투표를 위해이 주제를 새로운 질문으로 추가하고 있습니다.

테마를 검토하는 데 사용되는 현재 (진행중인) 설정 / 데이터 보안 검사 목록을 기반으로하는 시작 점검 목록은 다음과 같습니다 (테마의 경우와 플러그인의 원칙이 다르지 않아야 함).

안전하고 확실하게 코딩 된 테마 설정 페이지가있는 테마를 체크 아웃하려면 다음 테마를 확인하십시오.
http://wordpress.org/extend/themes/coraline

Nonces 사용 (Settings API를 사용하지 않는 경우)

설정 API를 사용하지 않는 경우 플러그인 및 테마는 설정 페이지 nonce 검사를 명시 적으로 제공해야합니다.

• 워드 프레스 논체 (코덱스)
• 워드 프레스 농스 (Mark Jaquith)
• Nonces를 사용하여 WordPress 플러그인의 보안 향상 (Vladimir Prelovac)
• WordPress에서 AJAX 사용을위한 5 가지 팁> 3. nonces를 사용하고 권한 확인 (Gary Cao)

데이터 살균, 검증 및 이스케이프

프론트 엔드와 백엔드 모두에서 데이터베이스에 출입 할 수있는 모든 것을 살균하십시오!

플러그인 및 테마는 적절한 데이터 유효성 검사를 수행해야합니다.

1. 데이터베이스에 데이터를 입력하기 전에 신뢰할 수없는 모든 데이터의 유효성 검사 및 삭제
2. 설정 양식 필드에 출력하기 전에 신뢰할 수없는 모든 데이터를 이스케이프 처리

3. 테마 템플릿 파일로 출력하기 전에 신뢰할 수없는 모든 데이터를 이스케이프 처리

   • 데이터 유효성 검사 (코덱스)

플러그인 및 테마는 esc_attr()텍스트 입력 및 esc_html()/ 또는 esc_textarea()텍스트 영역에 사용해야 합니다.

WordPress API esc_url()에서도 esc_url_raw(), esc_js()및을 사용할 수 있습니다 wp_filter_kses().

나쁜 예 :

<?php $url = 'javascript:pwnd()'; ?>
<a href="<?php echo $url; ?>">anchor</a>

좋은 예 :

<a href="<?php echo esc_url($url); ?>">anchor</a>

다음은 이스케이프 기능의 사용법을 설명하는 Mark Jaquith의 훌륭한 비디오입니다.

• 테마 및 플러그인 보안

더 나은 API를 사용할 수없는 경우에만 $ _GET / $ _POST / $ _REQUEST 만 사용하십시오.

플러그인 및 테마 얻을 및 양식 입력 데이터를 저장하는 대신에 의존하려면 설정 API를 사용해야 $_POST하고 $_REQUEST직접 데이터.

용도 $wpdb->prepare

$wpdb개체 를 통해 사용자 지정 쿼리를 $wpdb->prepare작성할 때는 mysql_*패밀리 함수가 모든 사람을 잘못 가르쳤 기 때문에 SQL 코드와 혼합 된 데이터로 쿼리를 작성하는 대신 항상 자리 표시자를 값으로 채우십시오 .

악성 코드를 실행하는 데 사용될 수있는 PHP 기능에주의하십시오

PHP를 작성하는 사람이라면 누구나 읽을 수 있습니다. StackOverflow의 취약성 PHP 함수

사용 테마 수정 API

테마는 자체 발명 된 이름 체계가 아닌set_theme_mod() 관련 기능을 사용해야합니다 . theme_mod API는 설정 API를위한 특수화 된 계층입니다. 고유 한 이름을 보장하고 모든 옵션을 하나의 배열 로 푸시하며 경험상 훨씬 쉽게 처리 할 수 ​​있습니다. 또한 플러그인에 대한 표준화 된 필터를 제공하므로 상호 운용성이 좋습니다.

사용하지 마십시오 register_globals

에 의존하지 마십시오 register_globals = on. 내 마지막 고객이 구입 한 Pro 테마 는 정확히이 작업을 수행합니다. 5 분
안에이 테마를 사용하는 사이트를 해킹 할 수있었습니다. ThimbThumb도이 작업을 수행했습니다.

불필요한 광범위한 액세스 권한이있는 파일을 만들지 마십시오

너무 자유로운 액세스 권한을 가진 파일을 만들지 마십시오.

가능한 경우 SSL 사용

당신의 포인트 트위터 / 페이스 북 / 뭐든지에서 공유 가능한 경우 HTTPS URI에 대한 링크. 독자의 보안도 중요합니다.

단일 배열로 데이터 저장

플러그인 및 테마는 설정 페이지에 여러 옵션을 작성하는 대신 단일 배열로 옵션을 저장해야합니다. 설정 API를 사용하면이를 처리 할 수 ​​있습니다.

설정 페이지 추가 및 출력시 적절한 기능 확인

플러그인은 설정 페이지를 추가 할 수있는 적절한 기능 (예 :)을 사용해야합니다 manage_options.

테마는 설정 페이지를 추가하기 edit_theme_options위한 적절한 기능 으로 사용해야 합니다.

• 역할 및 기능 (코덱스)

최신 튜토리얼 및 정보 사용

플러그인 및 테마는 모두 옵션 및 설정 페이지는 의도적으로하고 구현해야 하지 에 의존 복사 및 붙여 넣기 오래된 및 아래에 나열된 것과 같은 적절한 데이터 보안을 포함하지 않습니다되는 웹 사이트 자습서.

하지 말아야 할 것의 예 :

• 워드 프레스 테마에 대한 옵션 페이지를 만드는 방법 (1stwebdesigner.com)

• 멋진 WordPress 테마 옵션 페이지 1 부 만들기 (wpshout.com)

설정 API 사용

플러그인과 테마는 사용하기 쉽고 안전하며 설정 페이지의 많은 노력을 처리하는 설정 API를 사용해야합니다.

• 설정 API (코덱스)

설정 API 사용에 대한 유용한 자습서는 다음을 참조하십시오.

• WordPress 테마에 설정 API 통합 (Chip Bennett)
• register_setting ()을 사용하여 WordPress에서 플러그인 옵션 처리 (Ozh Richard)
• 워드 프레스 설정 API 튜토리얼 (오토)

체크 박스를 선택 옵션의 경우, 플러그인과 테마가 사용해야 checked()및 selected()출력 기능을 checked="checked"하고 selected="selected"각각.

접두사 함수 및 변수 이름

플러그인에는 모든 옵션, 사용자 정의 함수, 사용자 정의 변수 및 사용자 정의 상수 앞에 플러그인 슬러그가 있어야합니다.

테마는 테마-슬러그로 모든 옵션, 사용자 정의 함수, 사용자 정의 변수 및 사용자 정의 상수를 접두어로 사용해야합니다.

동일한 도메인의 페이지로 이동할 때 php의 header () 함수를 직접 호출하는 대신 wp_safe_redirect () 를 사용하십시오 .

관리자 메뉴의 해당 섹션에 설정 페이지 추가

플러그인은 최상위 메뉴를 추가하는 대신 add_options_page()플러그인 설정 페이지를 Settings메뉴 에 추가 하는 기능을 사용해야 add_menu_page()합니다.

테마는 최상위 메뉴를 추가하는 데 사용하지 add_theme_page()않고이 기능을 사용하여 테마 설정 페이지를 Appearance메뉴 add_menu_page()에 추가해야합니다.