wordpress - htaccess 密码保护干扰 Wordpress 功能

Question

我的主人要求我实现 htaccess authentication为我的 Wordpress 安装添加额外的安全层。

当访问 Wordpress 管理区域时，我被要求进行第二级(服务器)身份验证。这很好，但是我的网站上有一个页面是通过保护的。不幸的是，此页面的所有用户也被要求提供 htaccess 凭据。

有没有更好的方法来添加这种暴力破解保护？或者可能是一种将特定页面排除在要求第二因素身份验证之外的方法？

另外，后者是否会削弱和打败二次登录的目的？

这是教程中的相关代码...


ErrorDocument 401 "Unauthorized Access"
ErrorDocument 403 "Forbidden"
<FilesMatch "wp-login.php">
AuthName "Authorized Only"
AuthType Basic
AuthUserFile /home/username/.wpadmin
require valid-user
</FilesMatch>


编辑:此外，此方法对于拥有订阅者的 WP 站点似乎也不可行。他们肯定需要访问 wp-login.php。

Answer 1

如果您使用以下指令应该可以工作:

# passwordprotect wp-login.php
<Files wp-login.php>
<If "%{QUERY_STRING} != 'action=postpass'">
    AuthUserFile /path/to/passwd/file/.htpasswd
    AuthGroupFile /dev/null
    AuthName 'Login Message'
    AuthType Basic
    Require valid-user
</If>
</Files>

它所做的是，每次提供“action”字符串并且是“postpass”时都会跳过基本身份验证。

...只是一个想法:

我需要自己进一步测试它，因为我不知道它会如何影响 Wordpress 的内部路由，例如/ Action /邮寄/。