htaccess 密码保护干扰 Wordpress 功能

Question

我的房东要求我实施 htaccess authentication 为我的 Wordpress 安装添加额外的安全层。

访问 Wordpress 管理区域时，我被要求进行第二级（服务器）身份验证。这很好，但是我的网站上有一个受通行保护的页面。不幸的是，此页面的所有用户也被要求提供 htaccess 凭据。

有没有更好的方法来添加这种蛮力保护？或者可能是一种排除特定页面要求第二因素身份验证的方法？

另外，后者会削弱和破坏二次登录的目的吗？

这是教程中的相关代码...

ErrorDocument 401 "Unauthorized Access" ErrorDocument 403 "Forbidden" <FilesMatch "wp-login.php"> AuthName "Authorized Only" AuthType Basic AuthUserFile /home/username/.wpadmin require valid-user </FilesMatch>

编辑：对于有订阅者的 WP 网站，这种方法似乎也不可行。他们肯定需要访问 wp-login.php。

Answer 1

当您可以更改 WordPress 密码表单时，为什么还要更改 htaccess。这是对我有用的东西。

add_filter( 'the_password_form', 'wpsight_password_form_dmd' );
function wpsight_password_form_dmd($output){
    global $wp;
    $post   = get_post( $post );
    $label  = 'pwbox-' . ( empty( $post->ID ) ? rand() : $post->ID );
    $output = '<form action="' . esc_url( home_url( $wp->request ).'/?postpassnew123=1' ) . '" class="post-password-form" method="post">
    <p>' . __( 'This content is password protected. To view it please enter your password below:' ) . '</p>
    <p><label for="' . $label . '">' . __( 'Password:' ) . ' <input name="post_password" id="' . $label . '" type="password" size="20" /></label> <input type="submit" name="Submit" value="' . esc_attr_x( 'Enter', 'post password form' ) . '" /></p></form>
    ';
return $output;    
}
if(isset($_GET['postpassnew123'])){
    if ( !isset($_POST['post_password'] ) ) {
        wp_safe_redirect( wp_get_referer() );
        exit();
    }
    require_once ABSPATH . WPINC . '/class-phpass.php';
    $hasher = new PasswordHash( 8, true );

    $expire  = apply_filters( 'post_password_expires', time() + 10 * DAY_IN_SECONDS );
    $referer = wp_get_referer();
    if ( $referer ) {
        $secure = ( 'https' === parse_url( $referer, PHP_URL_SCHEME ) );
    } else {
        $secure = false;
    }
    setcookie( 'wp-postpass_' . COOKIEHASH, $hasher->HashPassword( wp_unslash( $_POST['post_password'] ) ), $expire, COOKIEPATH, COOKIE_DOMAIN, $secure );

    wp_safe_redirect( wp_get_referer() );
    exit();
}

Answer 2

如果你使用以下指令应该可以工作：

# passwordprotect wp-login.php
<Files wp-login.php>
<If "%{QUERY_STRING} != 'action=postpass'">
    AuthUserFile /path/to/passwd/file/.htpasswd
    AuthGroupFile /dev/null
    AuthName 'Login Message'
    AuthType Basic
    Require valid-user
</If>
</Files>

它的作用是，每次提供“action”字符串并且是“postpass”时跳过基本身份验证。

...只是一个想法：

我需要自己进一步测试它，因为我不知道它会如何影响 Wordpress 的内部路由，例如/动作/postpass/。

Answer 3

您可以使用与请求的 URI 匹配的环境变量来排除页面：

ErrorDocument 401 "Unauthorized Access" 
ErrorDocument 403 "Forbidden" 

SetEnvIfNoCase Request_URI ^/path/to/no-protect-page$ ok_uri=true

AuthName "Authorized Only" 
AuthType Basic 
AuthUserFile /home/username/.wpadmin 
Require valid-user
Allow from env=ok_uri
Satisfy Any

所以这个 htaccess 文件所在的目录将受到密码保护，除了对于/path/to/no-protect-page的请求。

Answer 4

试试https://wordpress.org/plugins/better-wp-security/ ; https://wordpress.org/plugins/bulletproof-security/ 或 Wordpress 上的其他安全插件。