排查handle_wpfs_event事件触发原因及Stripe插件卸载后CPU超限与异常POST请求问题

咱们一步步来拆解问题，先快速缓解CPU过载，再深挖根源，最后搞定handle_wpfs_event的触发问题：

一、紧急缓解CPU超限问题 #

既然SiteGround已经定位到请求来自固定IP 54.187.205.235，先把这个源头掐断：

• 直接封禁该IP：登录SiteGround的Site Tools，进入「Security > Blocking」，添加IP地址54.187.205.235，选择永久封禁（或者先临时封24小时观察效果）。也可以用SiteGround的防火墙规则，针对这个IP的POST请求直接拦截。
• 限制admin-post.php的请求频率：在网站根目录的.htaccess文件中添加规则，既拦截目标IP，又防止其他IP高频请求。备份好.htaccess后，添加以下代码：

  <Files "admin-post.php">
    Order Allow,Deny
    Allow from all
    # 封禁目标IP
    SetEnvIf REMOTE_ADDR "54.187.205.235" DenyIP
    Deny from env=DenyIP
    # 限制其他IP的请求频率（每分钟最多100次，可调整）
    RewriteEngine On
    RewriteCond %{REQUEST_METHOD} POST
    RewriteCond %{REMOTE_ADDR} !^127\.0\.0\.1$
    RewriteCond %{TIME_MIN} ^([0-9]+)$
    RewriteCond %{ENV:IPCOUNT} !^$
    RewriteRule ^ - [L,E=IPCOUNT:%{ENV:IPCOUNT}+1]
    RewriteCond %{ENV:IPCOUNT} ^[0-9]{3}$
    RewriteRule ^ - [L,R=429]
  </Files>
  

• 临时启用动态缓存：如果之前没开，先在SiteGround面板开启动态缓存，能快速减轻服务器压力，等问题解决后再按需调整缓存规则。

二、排查admin-post.php请求的残留根源 #

卸载插件后还有请求，大概率是钩子、定时任务或外部回调没清理干净：

• 检查WordPress定时任务：登录WP后台，进入「Tools > Site Health > Info > Cron Events」，搜索和Stripe、wpfs相关的任务，尤其是handle_wpfs_event，找到后直接删除。嫌后台操作麻烦的话，用WP-CLI命令更高效：

  # 列出所有定时任务
  wp cron event list
  # 删除指定任务
  wp cron event delete handle_wpfs_event
  

• 追踪admin-post的触发钩子：admin-post.php的请求都是通过admin_post_开头的钩子触发的。你可以用FTP或SiteGround的文件管理器，在wp-content/themes和wp-content/plugins文件夹里搜索admin_post_，看有没有绑定到可疑的支付/回调处理函数，找到后删除相关代码。
• 查看请求参数定位来源：在SiteGround的「Site Tools > Statistics > Access Logs」里，过滤admin-post.php的请求，看请求的action参数值（比如如果是action=wpfs_event，就和handle_wpfs_event直接相关），这能帮你精准定位触发源。
• 检查外部服务回调：即使卸载了插件，之前配置的Stripe Webhook可能还在往你的网站发请求。如果还能登录Stripe后台，去「Webhooks」设置里删除指向你网站的回调地址。

三、专项排查handle_wpfs_event事件 #

这个钩子大概率是之前的Accept Stripe Payments插件遗留的，按以下步骤清理：

• 搜索代码残留：在网站根目录下全局搜索handle_wpfs_event，重点看wp-content/plugins和wp-content/themes里的文件。如果找到相关代码，直接删除（注意备份文件）。
• 清理数据库残留：有些插件会把定时任务存在数据库里。登录phpMyAdmin，找到wp_options表（表前缀可能不同），搜索cron选项，查看里面有没有handle_wpfs_event的条目，找到后手动删除（操作前一定要备份数据库）。
• 排查恶意代码：如果搜索后发现这个函数不在正规插件/主题中，可能是恶意注入的代码。用SiteGround内置的「Security Scanner」（Site Tools > Security > Scanner）做全站点扫描，清除恶意文件。

四、长期防护建议 #

• 彻底清理插件残留：以后卸载插件时，除了删除插件文件夹，还要去数据库的wp_options、wp_postmeta等表中搜索插件相关关键词（比如stripe、wpfs），删除残留的选项和元数据。
• 启用SiteGround的WAF：Web应用防火墙能自动拦截恶意请求、高频攻击，从源头减少CPU过载风险。
• 设置资源报警：在SiteGround的「Site Tools > Statistics > Resource Usage」里开启资源报警，CPU接近配额时及时收到通知，早处理早解决。
• 只安装正规插件：尽量从WordPress官方插件库下载插件，避免来源不明的插件带来安全和性能问题。

内容的提问来源于stack exchange，提问作者John W