后台

对于 WordPress 多用户网站而言，我们可能需要限制用户的某些行为，比如需要在后台只显示当前登录用户的文章、页面和媒体，今天推荐的 Restrict User Content 插件就可以实现这个目的。 安装启用 Restrict User Content 插件以后，如果是非管理员账号登录后台，只能看到自己的文章、页面和多媒体。当然，该插件还允许你设置共享哪些用户的多媒体文件给所有用户使用，在后台 设置 – Restrict User Content 页面就可以看到如下设置界面： 在后台插件安装界面搜搜 Restrict User Content 即可在线安装，或者在这里下载 Restrict User Content 相关内容推荐： 在WordPress后台的文章列表只显示该作者自己的文章 WordPress后台只显示与当前用户的文章相关联的评论

WordPress 允许你为每篇文章设置“特色图片”也就是我们通常说的缩略图，但是默认情况下，你只能在文章编辑页面进行设置，今天推荐 Easy Thumbnail Switcher 查看，它可以让你直接在后台文章列表添加、更改或删除特色图片，非常方便： 在后台插件安装界面搜索 Easy Thumbnail Switcher 即可在线安装，或者在这里下载 Easy Thumbnail Switcher Easy Thumbnail Switcher 启用后无法任何配置，访问文章列表页面即可使用。

本文目录[隐藏]1漏洞1：WordPress 后台插件更新模块任意目录遍历导致DOS漏洞1.1描述1.2修复方法2漏洞2：WordPress IP验证不当漏洞2.1描述2.2修复方法3特别提示 最近频繁收到阿里云的两个漏洞提示，相信很多使用阿里云服务器的朋友也会收到： WordPress 后台插件更新模块任意目录遍历导致DOS漏洞WordPress IP验证不当漏洞 修复这两个漏洞的最直接的办法就是马上升级到 WordPress 4.6.1 版本即可！ 下面还是简单说说这两个漏洞，以及不升级4.6.1时应该如何手动修复。 漏洞1：WordPress 后台插件更新模块任意目录遍历导致DOS漏洞 描述 wordpress后台文件/wp-admin/includes/ajax-actions.php中，对代码插件路径的输入参数plugin未进行正确的规范化转义，导致黑客可传入特殊路径，造成拒绝服务。 修复方法 wordpress 4.5.4版本： 打开WordPress后台文件/wp-admin/includes/ajax-actions.php，大概在3077行左右找到以下代码： 1 $plugin = urldecode( $_POST[’plugin’] ); $plugin = urldecode( $_POST[‘plugin’] ); 在它的下面添加一行： 1 $plugin = plugin_basename( sanitize_text_field( wp_unslash( $_POST[’plugin’] ) ) ); $plugin = plugin_basename( sanitize_text_field( wp_unslash( $_POST[‘plugin’] ) ) ); 至此，修改保存上传覆盖后即可成功修复WordPress 4.5.4版本的WordPress后台插件更新模块任意目录遍历导致DOS漏洞。 wordpress 4.5.4版本以下： […]

默认情况下，我们在WordPress后台仪表盘界面的“活动”小工具中，只能看到文章（post）这种类型的更新信息，今天就分享个代码片段，允许在 WordPress 后台仪表盘“活动”小工具添加自定义文章类型。 代码样例如下： 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 /** * 仪表盘[活动]小工具输出自定义文章类型 * https://gist.github.com/Mte90/708e54b21b1f7372b48a */ if ( is_admin() ) { add_filter( ‘dashboard_recent_posts_query_args’, ‘wpdx_add_cpt_to_dashboard_activity’ ); function wpdx_add_cpt_to_dashboard_activity( $query ) { // 如果你要显示所有文章类型，就删除下行的 //，并在 11 行前面添加 // // $post_types = get_post_types(); // […]

WordPress 后台的版本升级提示有时候也是挺烦的，把下面的代码添加到主题的 functions.php 即可隐藏 WordPress 后台版本升级提示。 add_action(‘admin_menu’,’wp_hide_nag’); function wp_hide_nag() { remove_action( ‘admin_notices’, ‘update_nag’, 3 ); } 标签：WordPress 技巧

在当前主题添加如下代码： function change_editor_font(){ echo “<style type=’text/css’> #editorcontainer textarea#content { font-family: \”宋体\”,arial; font-size:14px; color:#333; } </style>”; } add_action(“admin_print_styles”, “change_editor_font”); 标签：WordPress 技巧

通过 WordPress 后台上传图片，并且将图片插入到日志中，WordPress 会自动生成的 <img> 的 html 标签中包含图片的宽度和高度参数，如果你使用的是响应式的 WordPress 主题，那么这个可能会造成一些问题。下面的这段代码可以解决这个问题。 将下面代码复制到当前主题的 functions.php 文件中： add_filter( ‘post_thumbnail_html’, ‘remove_width_attribute’, 10 ); add_filter( ‘image_send_to_editor’, ‘remove_width_attribute’, 10 ); function remove_width_attribute( $html ) { $html = preg_replace( ‘/(width|height)=”\d*”\s/’, “”, $html ); return $html; } 标签：WordPress 技巧

WordPress 新的自定义菜单是非常好的一个功能。现在我们可以通过添加自定义链接来添加首页的链接，这里展示个技巧，把首页的链接放入 WordPress 后台菜单系统的 Pages wiget 中，让用户直接拖动添加： 将下面代码复制到 functions.php 中即可： function home_page_menu_args( $args ) { $args[‘show_home’] = true; return $args; } add_filter( ‘wp_page_menu_args’, ‘home_page_menu_args’ ); 标签：WordPress 技巧

我们知道在 WordPress 后台 > 主题 > 编辑器 菜单下可以直接编辑主题，但是直接在后台修改主题，一不小心改错会把整个网站搞挂掉（特别是修改当前主题的 functions.php 文件），或者不小心按错把一些代码删错，所以最好就把这个菜单移除了。代码如下，添加当前主题的 functions.php 文件即可： function remove_editor_menu() { remove_action(‘admin_menu’, ‘_add_themes_utility_last’, 101); } add_action(‘_admin_menu’, ‘remove_editor_menu’, 1); 标签：WordPress 技巧

我已经介绍了在 WordPress 后台移除主题编辑器，今天继续加深，直接关闭 WordPress 后台的文件编辑功能。 在 wp-config.php 添加下面两行代码： define(‘DISALLOW_FILE_EDIT’, true); define(‘DISALLOW_FILE_MODS’,true); 标签：WordPress 技巧

前面更换域名的日志中提到我爱水煮鱼将引入更多的作者来给大家介绍 WordPress 和其他互联网开源技术，目前供稿的作者的权限都是投稿者（contributor），它们写好日志之后，状态是待审的，这样就产生了一个问题，有时候是不会注意到有日志需要审核的，所以最好的办法就是在 WordPress 后台的首页（就是仪表盘）直接显示待审日志列表： add_action(‘wp_dashboard_setup’, ‘wpjam_modify_dashboard_widgets’ ); function wpjam_modify_dashboard_widgets() { global $wp_meta_boxes; if(current_user_can(‘manage_options’)){ //只有管理员才能看到 add_meta_box( ‘pending_posts_dashboard_widget’, ‘待审日志’, ‘pending_posts_dashboard_widget_function’,’dashboard’, ‘normal’, ‘core’ ); } } function pending_posts_dashboard_widget_function() { global $wpdb; $pending_posts = $wpdb->get_results(“SELECT * FROM {$wpdb->posts} WHERE post_status = ‘pending’ ORDER BY post_modified DESC”); echo ‘<ul>’; foreach ($pending_posts as $pending_post){ echo ‘<li><a href=”‘.admin_url().’post.php?post=’.$pending_post->ID.’&action=edit”>’.$pending_post->post_title.'</a></li>’; } echo ‘</ul>’; […]

普通的作者，在 WordPress 后台不能看到太多的内容，我们可以让他们看到自己的文章，代码如下： <?php function wpjam_parse_query_useronly( $wp_query ) { if ( strpos( $_SERVER[ 'REQUEST_URI' ], '/wp-admin/edit.php' ) !== false ) { if ( !current_user_can( 'add_user' ) ) { global $current_user; $wp_query->set( 'author', $current_user->id ); } } } add_filter('parse_query', 'wpjam_parse_query_useronly' ); ?> 标签：WordPress 技巧