如何禁用WordPress的XML-RPC用于黑客的非法数据入侵，防止网站被黑

由于安全方面的原因，很长一段时间以来XML-RPC默认都是禁用的。但是在WordPress 3.5及以后的版本中，XML-RPC被设置成了默认启用并且后台没有地方可以关掉这个功能。本文，我们将讲解如何在WordPress中禁用XML-RPC并更深入的讨论为什么要默认开启该功能。

WordPress中XML-RPC的用途是什么？

什么是XML-RPC？

百度百科的解释是，XML-RPC的全称是XML Remote Procedure Call，即XML（标准通用标记语言下的一个子集）远程过程调用。它是一套允许运行在不同操作系统、不同环境的程序实现基于Internet过程调用的规范和一系列的实现。这种远程过程调用使用http作为传输协议，XML作为传送信息的编码格式。Xml-Rpc的定义尽可能的保持了简单，但同时能够传送、处理、返回复杂的数据结构。

那么在在WordPress程序网站当中，XML-RPC 用于为pingback的功能，用于远程发布的文章和需要与外部应用程序的特定通信的其它功能。

通过Pingback功能，可以通知另一个博客的作者您已在其站点上放置了指向其文章的链接（反之亦然）。

可将本地安装在计算机上的Weblog程序用于文章的远程发布。即使没有互联网连接，也可以创建文章。激活互联网连接后，应用程序会将已经创建的文章发送到WordPress网站。

每个WordPress安装都包含位于系统根目录中的xmlrpc.php文件。

通过此文件使用XML-RPC功能。通过xmlrpc.php，WordPress可以接收和发送XML-RPC信号并与其他外部应用程序进行通信。

为什么要在WordPress中禁用XML-RPC

实际上，xmlrpc.php会带来安全风险。它为您的站点创建了一个附加访问点，这可能使其容易受到外部攻击。每次对XML-RPC进行身份验证时，都需要提供用户名和密码，相比安全性来说，这个功能并不那么重要。

例如，为了防止暴力攻击，您可以限制在WordPress网站上的登录尝试。但是，启用XML-RPC后，该限制将不存在。尝试登录没有上限，这意味着确定的网络犯罪分子获得访问权限只是时间问题。

通过禁用XML-RPC，您可以关闭黑客的潜在进入区域。当然，没有XML-RPC，就不可能进行远程访问。您需要直接登录WordPress以进行发布和更新。因此，如果移动应用程序和远程软件是您进行网站更新的方法，则不能关闭该功能。

以前，鉴于对安全性的考虑，所以将XML-RPC设置为默认禁用。但是现在情况完全不同了，WordPress的代码质量有了很大的提升，归功于开发团队大量的工作，它在API开发方面不再受到歧视。 与其他核心相比，安全性已经不是什么大问题了。

现在已经没有什么理由再将它默认设置为禁用了，是时候删掉这个选项了。

如何禁用XML-RPC？

只需要将下面的代码粘贴到主题的functions.php文件中即可：

add_filter('xmlrpc_enabled', '__return_false');

或者，你还可以安装一个叫Disable XML-RPC的插件，只需要启用该插件即可，跟上面那行代码的功能是一样的。

在Apache环境下使用.htaccess禁用XML-RPC

如果你的服务器或主机空间采用的是Apache服务，可以通过.htaccess禁用WordPress中的xmlrpc.php功能，您需要转到WordPress网站的根文件夹，找到并打开.htaccess文件并添加以下代码：

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
allow from 123.123.123.123
</Files>

如果您要允许访问xmlrpc.php的特定IP地址，则可以在上面的代码段中替换123.123.123.123。否则，您可以完全删除此行。

注意：如果您的网站上有.htaccess文件，但您看不到它，请访问设置并单击“显示隐藏的文件”。

在 Nginx 环境下禁用XML-RPC

你可以在对应网站的配置文件中，添加下面的代码禁用 XML-RPC：

如果您要允许访问xmlrpc.php的特定IP地址，则可以在上面的代码段中替换123.123.123.123。否则，您可以完全删除此行。

现在，除了您选择的特定用户外，所有人都将无法远程使用xmlrpc.php。

小结

XML-RPC 是WordPress用于远程发布文章和博客互动通信的桥梁，也是黑客攻击的重要对象，所以，出于安全性考虑，你应该根据自己的实际需求选择是否禁用该功能。另外提示一点你忙了这么多如果还没动手的话，其实，建议直接删除/www/wwwroot/uzhixcom/xmlrpc.php文件