网站安全审计专家，全面扫描网站漏洞，包括SQL注入、XSS和…

# WordPress + WooCommerce 电商站安全审计清单

> 说明：我无法直接访问你的站点进行扫描，以下为可照做的完整审计方案，按优先级排序。

一、SQL 注入排查

• 插件与主题溯源：后台「插件/主题」列表核对是否全部来自官方仓库或可信商业源，重点排查已停止维护（2年以上未更新）的插件
• 参数化查询检查：若团队有自研插件/主题，检查代码中是否存在 $_GET/$_POST 拼接进 $wpdb->query() 的情况，必须改用 $wpdb->prepare()
• 自动化扫描：用 WPScan + SQLMap（只测 staging 环境）对搜索框、筛选器、排序参数、WooCommerce 商品过滤字段做注入测试
• 数据库最小权限：确认数据库账号仅授予该库的 SELECT/INSERT/UPDATE/DELETE，禁用 FILE、DROP 等高危权限

二、XSS 排查

• 用户输入出口：检查商品评论、自定义表单、搜索结果页是否对输出做了 esc_html()/esc_attr() 转义
• 存储型 XSS 高危点：WooCommerce 订单备注、商品描述、优惠券名称等后台可见字段，测试 <script> 标签是否被过滤
• HTTP 响应头：确认已配置 CSP（Content-Security-Policy）、X-Content-Type-Options: nosniff
• 富文本插件：可视化编辑器类插件是 XSS 重灾区，核对版本与已知漏洞库（WPScan DB、wordfence 情报）

三、后台登录加固

• 修改默认登录地址 /wp-admin、/wp-login.php（用 WPS Hide Login 类插件）
• 启用登录限速（5 次失败锁定或延迟递增）+ Google reCAPTCHA/Turnstile
• 强制所有管理员使用强密码 + 两步验证（2FA 插件）
• 禁用 XML-RPC（若不用 Jetpack 等依赖）
• 后台强制 HTTPS，启用 HSTS

四、其他必查项

• 版本隐藏：移除页面源码中的 WordPress 版本号
• 文件权限：wp-config.php 设为 400/440；禁用后台主题/插件文件编辑器（DISALLOW_FILE_EDIT）
• 备份验证：确认有异地自动备份，且做过至少一次恢复演练
• 错误日志：关闭 WP_DEBUG 前台显示

五、交付节奏建议

• 周一~周二：自动化扫描（WPScan、Nuclei）+ 手工验证
• 周三~周四：修复验证 + 复扫
• 周五：输出报告（漏洞列表、风险等级、修复步骤、复测结果）

完成后可生成正式报告。如需我协助解读扫描结果或撰写报告模板，随时告诉我。