wordpress - 在带有可见 API key 的 WP Super Cache 中使用 Wordpress 中的单个 Cloudflare 帐户

Question

我们开始在一些 Wordpress 客户帐户上使用 Cloudflare，并注意到在 CDN 设置中我的电子邮件地址和 API key 对客户可见。

这是其他人可以看到我的 Cloudlflare 电子邮件地址和 API key 的潜在安全问题吗？我应该为每个客户帐户使用 1 个 Cloudflare 帐户吗？

这是一个屏幕截图(我模糊了 API key 并删除了控制台中的电子邮件输入框)，但客户可以看到这两个值。



他们可以用这 2 条数据做的最糟糕的事情是什么？

Answer 1

您必须使用 token 而不是全局 api key 。你只对某些区域严格 token



这只不会解决问题，您必须手动修改 wp 最快的缓存插件来修改请求以匹配 API token 的使用。
请求可以在 inc\cdn.php 中找到

修改后的文件:
https://gist.github.com/ahmed-abdelazim/7c8170f7fc4e821c6b015d770fcbf14a

所以

                $header = array("method" => "DELETE",
                                'headers' => array(
                                                "X-Auth-Email" => $email,
                                                "X-Auth-Key" => $key,
                                                "Content-Type" => "application/json"
                                                ),
                                "body" => '{"purge_everything":true}'
                                );

转换为

                $header = array("method" => "DELETE",
                                'headers' => array(
                                                //"X-Auth-Email" => $email,
                                                "Authorization" => "Bearer ".$key,
                                                "Content-Type" => "application/json"
                                                ),
                                "body" => '{"purge_everything":true}'
                                );

这在 cdn.php 文件中的插件中发生了五次