feat(security): 新增网站安全扩展模块并支持修改手机脱敏验证

2026-10-06 09:26:55 +08:00
1 parent 224f86ec08
commit af72364078
@@ -0,0 +1,151 @@
+<?php
+/**
+ * 网站安全：安全加固开关、内容防刷限制与验证错误频率限制。
+ *
+ * 对应后台「扩展&增强 → 网站安全」设置（ExtensionRuntime::get_security_settings()），
+ * 行为对齐参考主题 zib-theme.php / action/function.php 的安全套件。
+ *
+ * @package AKSRT
+ */
+
+namespace AKSRT\Extensions;
+
+defined('ABSPATH') || exit;
+
+class SecurityHardening {
+
+	private static $instance = null;
+
+	public static function get_instance(): self {
+		if (null === self::$instance) {
+			self::$instance = new self();
+		}
+		return self::$instance;
+	}
+
+	public function init(): void {
+		$settings = \AKSRT\Settings\ExtensionRuntime::get_security_settings();
+
+		if (!empty($settings['security_disabled_xmlrpc'])) {
+			add_filter('xmlrpc_enabled', '__return_false');
+			add_filter('xmlrpc_methods', '__return_empty_array');
+		}
+
+		if (!empty($settings['security_disabled_pingback'])) {
+			add_action('pre_ping', [$this, 'disable_self_pingback']);
+		}
+
+		if (!empty($settings['security_user_disable_admin'])) {
+			add_action('admin_init', [$this, 'restrict_admin_access']);
+		}
+	}
+
+	/**
+	 * 防 pingback 攻击：移除指向自己站点的 pingback。
+	 */
+	public function disable_self_pingback(array &$links): void {
+		$home = home_url();
+		foreach ($links as $index => $link) {
+			if (0 === strpos((string) $link, $home)) {
+				unset($links[$index]);
+			}
+		}
+	}
+
+	/**
+	 * 非管理员禁止进入后台（放行 admin-ajax 与定时任务）。
+	 */
+	public function restrict_admin_access(): void {
+		if (wp_doing_ajax() || wp_doing_cron()) {
+			return;
+		}
+		if (!is_user_logged_in() || current_user_can('manage_options')) {
+			return;
+		}
+		wp_safe_redirect(home_url('/'));
+		exit;
+	}
+
+	/**
+	 * 内容防刷限制：检查并计数（10 分钟窗口 + 当天两个维度，0 = 不限制）。
+	 *
+	 * @param string $scope   post|comment|upload|register|order
+	 * @param string $subject 用户 ID 或 IP 等限流主体
+	 * @param int    $cap_10  10 分钟上限
+	 * @param int    $cap_day 一天上限
+	 * @return true|string true = 放行（并计数），字符串 = 拒绝原因
+	 */
+	public static function brush_allow(string $scope, string $subject, int $cap_10, int $cap_day) {
+		if ($cap_10 <= 0 && $cap_day <= 0) {
+			return true;
+		}
+
+		$scope = sanitize_key($scope);
+		$hash = md5((string) $subject);
+		$minute_key = sprintf('aksrt_brush_%s_m_%s_%s%d', $scope, $hash, wp_date('YmdH'), intdiv((int) wp_date('i'), 10));
+		$day_key = sprintf('aksrt_brush_%s_d_%s_%s', $scope, $hash, wp_date('Ymd'));
+
+		if ($cap_10 > 0 && (int) get_transient($minute_key) >= $cap_10) {
+			return __('操作过于频繁，请稍后再试', 'aksrt');
+		}
+		if ($cap_day > 0 && (int) get_transient($day_key) >= $cap_day) {
+			return __('今日操作次数已达上限，请明天再试', 'aksrt');
+		}
+
+		if ($cap_10 > 0) {
+			set_transient($minute_key, (int) get_transient($minute_key) + 1, 10 * MINUTE_IN_SECONDS);
+		}
+		if ($cap_day > 0) {
+			set_transient($day_key, (int) get_transient($day_key) + 1, DAY_IN_SECONDS);
+		}
+		return true;
+	}
+
+	/**
+	 * 错误频率限制：返回下一次验证需等待的秒数（0 = 可立即验证）。
+	 * 错误超过 5 次限 30 秒一次，超过 10 次限 3 分钟一次。
+	 */
+	public static function error_frequency_wait(): int {
+		$settings = \AKSRT\Settings\ExtensionRuntime::get_security_settings();
+		if (empty($settings['security_error_frequency_limit'])) {
+			return 0;
+		}
+
+		$state = get_transient(self::error_frequency_key());
+		if (!is_array($state)) {
+			return 0;
+		}
+
+		$count = (int) ($state['count'] ?? 0);
+		$last = (int) ($state['last'] ?? 0);
+		if ($count < 5) {
+			return 0;
+		}
+
+		$remaining = ($count >= 10 ? 180 : 30) - (time() - $last);
+		return $remaining > 0 ? $remaining : 0;
+	}
+
+	/** 记录一次验证失败（滑动 10 分钟窗口）。 */
+	public static function error_frequency_record(): void {
+		$settings = \AKSRT\Settings\ExtensionRuntime::get_security_settings();
+		if (empty($settings['security_error_frequency_limit'])) {
+			return;
+		}
+
+		$key = self::error_frequency_key();
+		$state = get_transient($key);
+		$count = is_array($state) ? (int) ($state['count'] ?? 0) + 1 : 1;
+		set_transient($key, ['count' => $count, 'last' => time()], 10 * MINUTE_IN_SECONDS);
+	}
+
+	/** 验证成功后清除错误计数。 */
+	public static function error_frequency_clear(): void {
+		delete_transient(self::error_frequency_key());
+	}
+
+	private static function error_frequency_key(): string {
+		$ip = function_exists('aksrt_get_client_ip') ? aksrt_get_client_ip() : (string) ($_SERVER['REMOTE_ADDR'] ?? '');
+		return 'aksrt_err_freq_' . md5((string) get_current_user_id() . '|' . $ip);
+	}
+}