WordPress 主题开发者在编写代码时，往往将精力集中在功能和视觉效果上，而忽略了安全编码。一个存在安全漏洞的主题，可能会让整个网站被攻击者控制。本文系统梳理主题开发中最常见的安全漏洞及其防护方法。

第一条：输出必须转义

在任何将数据输出到 HTML 中的地方，都必须使用转义函数。这是防止 XSS 跨站脚本攻击的核心措施。对于 HTML 属性中的输出，使用 esc_attr。对于 HTML 标签中的文本，使用 esc_html。对于 URL 属性，使用 esc_url。对于 JavaScript 中的输出，使用 esc_js。

永远不要直接输出用户输入的数据或从数据库取出的未经验证的数据。即使用你认为数据是安全的，也必须养成转义的习惯。

第二条：数据库查询必须预处理

当主题需要直接操作数据库时，必须使用 $wpdb->prepare 进行预处理。这是防止 SQL 注入的唯一可靠方法。永远不要使用字符串拼接的方式构造 SQL 语句，即使你认为某个变量是安全的。

对于插入和更新操作，使用 $wpdb->insert 和 $wpdb->update，它们会自动转义参数。

第三条：用户权限必须检查

在主题中执行任何敏感操作前，必须检查当前用户是否有足够的权限。使用 current_user_can 检查用户能力，使用 is_user_logged_in 验证用户是否已登录。特别注意的是，检查权限的粒度要精细，不能只检查用户是否登录，还要检查用户是否有执行特定操作的能力。

第四条：数据必须验证

在处理用户输入时，必须验证数据的类型和格式。对于数字，使用 intval 强制转换。对于邮件地址，使用 sanitize_email 清洗。对于文本，使用 sanitize_text_field 清洗。对于 URL，使用 esc_url 转义。

第五条：nonce 必须验证

在处理表单提交或 AJAX 请求时，必须使用 nonce 进行安全验证。使用 wp_nonce_field 生成 nonce 字段，使用 wp_verify_nonce 验证 nonce 的有效性。这可以防止跨站请求伪造攻击。

第六条：文件上传必须限制

如果主题允许文件上传，必须严格限制文件类型。使用 wp_check_filetype 检查文件类型，使用 wp_handle_upload 处理上传。对于可执行文件，必须完全禁止上传。

第七条：隐藏敏感信息

在主题中，应该隐藏 WordPress 版本号，防止攻击者利用已知漏洞。移除头部中的 RSD 链接、短链接等可能泄露信息的标签。

第八条：禁用文件编辑器

在 wp-config.php 中禁用后台文件编辑器，防止攻击者在获得管理员权限后直接修改主题或插件代码。