WordPress 联合创始人 Matt Mullenweg 在 2026 年 11 月 8 日发文，提出一个朴素但关键的安全原则：在接收用户输入时要「保守」——并且直言，WordPress 当前在用户名注册环节的校验并不够严格。这条提议如果落地，未来新站点的垃圾注册与垃圾评论压力有望明显下降。
事件背景：一个被忽略的校验缺口
事情起因于 Joe Youngblood 的一份报告。 Matt 坦言自己此前没意识到：WordPress 那套相对保守的 sanitize_username 处理逻辑，在非多站点（non-multisite）模式下，并不会作用于用户注册环节。换句话说，注册时接受的用户名范围，比很多人以为的更宽松。
关于多站点下用户与权限的既有机制，可对照 WordPress 多站点 与 用户角色与能力 两篇说明。
Matt 的核心提议
他把原则说得很直接：「我们应该假定每一次 CRUD 尝试都是恶意的。」 在此基础上，他提出了几个收紧方向：
- 用户名更严：新注册可以采用比以往更严格的规则，同时不破坏向后兼容；
- 全面排查输入：审视还有哪些地方接收的数据范围过宽，逐步收紧；
- 降低邮件吸引力：像评论默认开启审核一样，重新检视每一处会发邮件的场景，让站点对垃圾发送者「没那么有趣」。例如评论通知邮件默认不再附带正文内容，只发一条指向审核页面的链接。
「对站长意味着什么」
为什么「保守接收」对普通站点有用
垃圾注册和垃圾评论长期消耗站长的精力。把用户名注册规则收紧、把通知邮件去「诱饵化」，能直接抬高垃圾机器人的成本。更重要的是，这类改动走的是「默认更安全」的路线——大多数站点无需手动配置就能受益，只有极少数依赖宽松输入的旧流程需要留意兼容性。
步骤一：开启「任何人都可以注册」时，务必把新用户默认角色设为「订阅者」，避免默认给到过高权限。
步骤二：为注册与登录入口加上人机校验或限流，挡掉批量自动注册。
步骤三：开启评论审核（WordPress 默认即开启），并对含链接的评论提高审核门槛。
步骤四：把评论通知邮件视为低信任来源，不在邮件里直接渲染未知内容；审核动作回到后台进行。
步骤五：保持 WordPress 与 PHP 处于受支持版本，及时跟进官方的安全默认变更。
常见问题
目前还是提议阶段，不会立即改变现有站点行为。即便将来落地，官方也明确要「不破坏向后兼容」，普通站点大概率无感升级。
更严格的注册规则会抬高垃圾机器人批量建号的门槛，减少垃圾用户、垃圾评论和潜在的滥用账号，省下大量清理与审核成本。
讨论方向是：评论通知邮件默认不再附带评论正文，只发一条指向审核页面的链接，从而降低邮件本身成为垃圾传播载体的价值。最终形态以官方落地方案为准。
「延伸：代码贡献者能关注什么」
开发侧可关注核心对
sanitize_username 在注册路径上的调用差异，以及「默认邮件去诱饵化」涉及的评论通知相关钩子；相关讨论会在 Core Trac 与 make.wordpress.org/core 持续展开。
评论 (0)