WP Panel v1.6.0 正式发布。
本次版本围绕 WordPress 站点安全 做了一次集中更新：新增轻量异常监控、文件完整性基线、SQL 注入请求防护，新增“禁用 WordPress 应用程序密码”站点开关，并完善了临时维护窗口、IPv6 持久封禁和日志保留策略。
这些能力里的很大一部分，来自我们最近处理的一起真实事件：一个长期无人维护的跨境珠宝独立站被入侵，直到网站打不开、客户来问才发现——数据库里被塞进几万篇垃圾文章，首页被埋了数据库后门，而 Web 访问日志早已超过保留期，连最初从哪个入口进来都查不回来了。
网站“能打开”和“没被入侵”是两回事。 v1.6.0 想解决的问题很具体：让长期无人维护的站点，在被入侵的早期就能收到信号，而不是几个月后网站打不开了才后知后觉。
为什么“事后排查”这么难
这类针对无人维护站点的入侵，通常不是一次打崩，而是分阶段埋持久化：
- 恶意插件：表面正常，实则提供远程发文接口，还能自己创建管理员账号；
- 伪装插件：把自身复制进
mu-plugins，在后台隐藏自己，普通“停用插件”删不干净； - 数据库触发器：首页被编辑时自动把隐藏的垃圾内容重新插回去，后台删了、前台又出现；
- 应用程序密码：被用于 REST 接口自动发文，注销浏览器登录会话也拦不住。
再叠加日志过期、文件被改、“发布日期”被伪造成几个月前，等发现问题时，往往已经失去回溯条件。
v1.6.0 新增了哪些安全能力
账号与凭据监控
- 管理员账号新增、降权、提权时告警；
- 应用程序密码的存量盘点、新增、首次使用、来源 IP 变化、撤销，全部留痕。
这是上次事件里最关键、也最容易忽略的一环：攻击者只要拿到一个应用程序密码，就能长期自动发文。
内容与设置监控
- 文章、页面集中发布、批量修改、删除、取消发布时告警；
- 首页变化通知做了合并：相邻两次修改间隔不足 6 小时归入同一条，安静 6 小时后的下一次变化重新通知；
- 开放注册、默认角色被改动也会提示。
数据库持久化对象监控
- 对数据库中的触发器（Trigger）、事件（Event）、存储过程（Procedure）、函数（Function）进行采样；
- 专门覆盖“内容删了又回来”这类数据库层后门。
文件完整性基线
- 在开启文件锁且状态健康的站点上，用站外 SHA-256 基线监控核心、插件、主题、MU 插件、Drop-in 等代码文件的变化；
- 正常的维护窗口或面板受控更新完成后接受新基线，只有异常变化才进入安全事件。
SQL 注入请求防护
- 保守型防护：只在 URL 层识别高置信度的攻击结构，在请求进入 PHP 之前拒绝；
- 可信来源重复触发，由独立规则临时封禁；
- 普通搜索请求不会被误拦。它不是完整 WAF，也不检查 POST/JSON 请求体。
禁用 WordPress 应用程序密码
- 新增站点级开关。新建网站默认禁用，降低遗留远程凭据被用来写内容的可能；
- 已有网站升级后保持允许，避免打断手机 App、自动发布和第三方 REST 集成。
其他配套改进
- 新增可恢复的临时维护窗口：在 WordPress 后台用维护密码短时解锁，按时自动回锁，回锁必须真实恢复权限才算成功；
- 补齐 IPv6 持久封禁，当前封禁状态同时核对 IPv4、IPv6、Fail2ban 与 Nginx 执行层；
- 新建网站原始日志默认保留 14 天，WordPress 安全事件保留 90 天；
- 修复 WordPress 调试模式未完整生效的问题；
- 安全设置保存改为统一事务，避免并发请求用旧配置覆盖新配置。
常见问题
开了这些监控，网站就不会被入侵了吗？
不会。任何安全产品都不能保证不被入侵。v1.6.0 解决的是“更早发现”，不是“绝对防御”。
监控会自动删除恶意文章、用户或插件吗？
不会。异常监控只告警、留证，不自动修改数据。删除、隔离这类破坏性操作始终由你确认后执行。
SQL 注入防护会误拦正常访问吗？
它只处理 URL 层高置信度的攻击结构，普通搜索、核心 REST 搜索和低置信度信号都不会被拦截。它不检查 POST/JSON 请求体，也不能替代应用自身的参数化查询。
文件完整性基线能发现数据库里的恶意内容吗？
不能。它覆盖文件，覆盖不到“纯数据库写入”，例如通过合法 REST 接口发文。数据库层异常要靠数据库对象监控和内容监控发现。
初始基线建立后，就代表站点干净吗？
不代表。初始基线只表示“记录下当前文件状态”。如果恶意文件或未知凭据在建立基线前就已存在，仍需人工复核。
现有网站升级后会被强制禁用应用程序密码吗？
不会。只有新建网站默认禁用，现有网站升级后保持允许。
把这些能力放回这次真实事件
需要说明：这些监控能力在该事件发生时还没有部署。如果把 v1.6.0 的能力放到当时的时间线上，大致会是这样：
| 攻击动作 | v1.6.0 会产生的信号 |
|---|---|
| 悄悄创建应用程序密码 | 凭据新增记录 |
| 恶意插件落盘、新增管理员 | 管理员变动告警 + 文件完整性变化告警 |
| 植入数据库触发器 | 数据库对象采样告警 |
| 短时间内集中发布几万篇文章 | 内容发布量异常告警 |
这些是信号，不是定罪。它们不会单独证明站点被入侵，但足以让你在正确的时间点介入，而不是在几个月后。
适用边界与注意事项
- 本版本不保证网站不被入侵，只缩短“被入侵”到“被发现”的时间；
- 文件完整性基线、临时维护窗口、代码变化告警仅对开启文件锁的 WordPress 站点生效，未开启文件锁的站点不会获得代码基线监控；
- SQL 防护只处理 URL 层高置信结构，不检查请求体，不代表站点存在漏洞；
- 异常监控需要配置好通知渠道，并且有人响应，否则告警只是面板里的一条记录；
- 商业、自研插件的完整性仍缺少统一可信校验来源，建议结合定期备份一并使用。
升级与兼容性
- v1.6.0 包含数据库升级，可从 v1.5.14 连续升级，无需手工改数据库；
- 升级后 SQL 注入请求防护默认开启。如果业务使用了特殊查询结构，建议升级后检查访问日志，必要时在“安全设置”中关闭；
- 现有网站不会自动禁用应用程序密码。建议升级后主动复核管理员列表和应用程序密码列表，确认没有你未创建的条目；
- 配套插件升级至 1.1.28，设置页采用统一安全状态布局，并内置英文和简体中文；
- 升级不会修改现有网站的文件、数据库、SSL 证书或 Nginx/PHP 配置。
总结
WP Panel v1.6.0 没有承诺“不会被入侵”，而是把长期无人维护站点最缺的一环补上：及时发现与留证。
- 账号、凭据、内容、设置、数据库对象、代码文件，多处异常行为都有迹可循；
- 监控只告警，不替你动数据；
- 从“打不开了才发现”，变成“刚有异常就收到提醒”。
对于手里有一批站点、又不可能每天盯着后台的运维人员来说，这是一次值得升级的版本。还没有用上 WP Panel？如果你手上有一批长期运行的 WordPress 站点，建议先在一个非核心站点开启异常监控，观察一段时间后，再逐步推广到全部生产环境。
立即升级
WP Panel v1.6.0 已正式发布：查看 v1.6.0 发布页面。
升级后，可在“网站详情 → WordPress 优化”“安全设置”“安全防御”中找到上述新能力。
