Як запропоновано в цьому запитанні , я додаю цю тему як нове запитання для обговорення / голосування в громаді щодо найкращих практик безпеки плагінів / тем.

Ось початковий контрольний список, який базується на моїх поточних налаштуваннях / контрольних списках безпеки даних, що використовуються для перегляду тем (принципи не повинні відрізнятися для плагінів, ніж для тем).

Якщо ви хочете перевірити тему на захищеній та суцільно закодованій сторінці налаштувань теми, перегляньте цю тему:
http://wordpress.org/extend/themes/coraline

Використовуйте безглузді (коли не використовуєте API налаштувань)

Плагіни та теми повинні явно забезпечувати перевірку сторінки сторінки налаштувань, якщо не використовується API налаштувань:

• WordPress нонсенси (кодекс)
• Думки WordPress (Марк Жакіт)
• Підвищення безпеки в плагінах WordPress за допомогою Nonces (Володимир Преловац)
• 5 порад щодо використання AJAX в WordPress> 3. Скористайтеся знаками і перевірте дозвіл (Gary Cao)

Санітизуйте, перевіряйте та скасовуйте дані

Очистити все, що може потрапити і вийти з (!) Бази даних як переднього, так і заднього!

Плагіни та теми повинні виконати належну перевірку даних:

1. Перед введенням даних у базу даних перевіряйте та обробляйте всі недовірені дані
2. Уникнути всіх недовірених даних перед тим, як виводитись у поля Налаштування

3. Уникнути всіх недовірених даних, перш ніж виводитись у файли шаблонів теми

   • Перевірка даних (Кодекс)

Модулі і теми слід використовувати esc_attr()для текстових входів і esc_html()чи esc_textarea()для текстових областей.

Також доступні з WordPress API є esc_url(), esc_url_raw(), esc_js()і wp_filter_kses().

Поганий приклад:

<?php $url = 'javascript:pwnd()'; ?>
<a href="<?php echo $url; ?>">anchor</a>

Хороший приклад:

<a href="<?php echo esc_url($url); ?>">anchor</a>

Ось чудове відео Марка Джакіта, що пояснює використання функцій, що протікають:

• Тема та безпека плагінів

Використовуйте лише обережно $ _GET / $ _POST / $ _REQUEST і тоді, коли кращі API не доступні

Плагіни та теми повинні використовувати API налаштувань для отримання та збереження вхідних даних форми, а не покладатися на дані $_POSTта $_REQUESTбезпосередньо.

Використовуйте $wpdb->prepare

Створюючи власні запити через $wpdbоб’єкт, завжди використовуйте $wpdb->prepareдля заповнення заповнювачів значеннями, а не пишіть запити даними, змішаними з кодом SQL, оскільки mysql_*сімейні функції неправильно навчали всіх.

Будьте обережні з функціями PHP, які можуть використовуватися для запуску шкідливого коду

Приємне читання для всіх, хто пише PHP: Експлуатовані функції PHP на StackOverflow.

Використовуйте API модифікації тем

Теми повинні використовувати set_theme_mod()і пов'язані функції, а не самостійно винайдені схеми імен.
API theme_mod - це спеціалізований рівень для API налаштувань; це гарантує унікальні імена, висуває всі варіанти в один масив і - з мого досвіду - набагато простіше в роботі. Крім того, він пропонує стандартизовані фільтри для плагінів - що добре для сумісності.

Уникайте register_globals

На це не покладатися register_globals = on. Pro Theme , який мій останній клієнт купив робить саме це. Я міг би зламати будь-який сайт, використовуючи цю тему, за 5 хвилин…
ThimbThumb зробив це теж (і досі?).

Не створюйте файли із зайвими правами широкого доступу

Не створюйте файли з надто звільненими правами доступу.

Використовуйте SSL, коли це можливо

Наведіть свою долю на Twitter / Facebook / будь-які посилання на URI HTTPS, якщо вони доступні. Важлива і безпека вашого читача.

Збережіть дані в одному масиві

Плагіни та теми повинні зберігати параметри в одному масиві, а не створювати кілька параметрів для сторінки налаштувань. Використання API налаштувань впорається з цим.

Перевірте відповідні можливості під час додавання та виведення сторінок налаштувань

Плагіни повинні використовувати відповідні можливості (наприклад manage_options) для можливості додавання сторінки налаштувань.

Теми повинні використовуватись edit_theme_optionsяк відповідна можливість додати сторінку налаштувань.

• Ролі та можливості (Codex)

Використовуйте сучасні підручники та інформацію

Плагіни та теми повинні свідомо реалізовувати сторінки "Параметри" та "Налаштування", а не покладатися на підручники з копіювання та вставки веб-сайтів, які застаріли і не містять належної безпеки даних, таких як перелічені нижче.

Приклади того, що не робити :

• Як створити сторінку параметрів для теми Wordpress (1stwebdesigner.com)

• Створіть дивовижні параметри теми WordPress на сторінці сторінки 1 (wpshout.com)

Використовуйте API налаштувань

Плагіни та теми повинні використовувати API налаштувань, який простіший у використанні, більш захищений та забезпечує багато кропіткої роботи сторінок налаштувань:

• API налаштувань (Codex)

Щоб ознайомитись із навчальними посібниками щодо використання API налаштувань, див.

• Включення API налаштувань у теми WordPress (Chip Bennett)
• Обробка параметрів плагінів у WordPress за допомогою register_setting () (Ож Річард)
• Навчальний посібник API для WordPress (Otto)

Для прапорців і вибору опцій, плагіни і теми повинні використовувати checked()і selected()функцію для виведення checked="checked"і selected="selected", відповідно.

Функція префікса та назви змінних

Плагіни повинні префіксувати всі параметри, спеціальні функції, спеціальні змінні та власні константи із плагіном-слигом.

Теми повинні містити префікс усіх параметрів, користувацьких функцій, користувацьких змінних та спеціальних констант із темою slug.

Використовуйте wp_safe_redirect () замість виклику функції php header () безпосередньо під час переходу на сторінку того ж домену.

Додайте сторінки налаштувань до відповідних розділів меню адміністратора

Плагіни повинні використовувати add_options_page()функцію, щоб додати сторінку Settingsменю плагінів до меню, а не використовувати add_menu_page()меню верхнього рівня.

Теми повинні використовувати add_theme_page()функцію, щоб додати сторінку Appearanceменю налаштувань теми , а не використовувати add_menu_page()меню верхнього рівня.