如何防止通过WordPress找回密码表单进行用户枚举？

核心思路 #

让找回密码表单无论输入的用户名/邮箱是否存在，都返回完全一致的提示消息，同时可选增加响应延迟提升攻击门槛。

具体实现方案 #

1. 统一错误/成功提示消息 #

使用wp_login_errors钩子拦截并替换找回密码页面的所有提示，确保输出内容一致：

add_filter('wp_login_errors', 'unify_reset_password_notice', 10, 2);
function unify_reset_password_notice($errors, $redirect_to) {
    // 判断当前是否是找回密码请求
    if (isset($_POST['action']) && $_POST['action'] === 'lostpassword') {
        // 清除原有所有错误或成功提示
        $errors->remove_all();
        // 添加统一的提示文本（可自行修改）
        $errors->add('reset_unified', '<strong>提示</strong>: 若您的账户已注册，密码重置邮件已发送至对应邮箱，请查收。');
    }
    return $errors;
}

将上述代码添加到当前主题的functions.php文件，或自定义插件中即可生效。此方法会覆盖所有找回密码流程中的提示，无论输入有效与否，用户只会看到统一的消息。

2. 增加响应延迟（可选） #

为了进一步增加攻击者枚举用户的难度，可添加固定延迟，让有效和无效请求的响应时间保持一致：

add_action('lostpassword_post', 'add_reset_password_delay');
function add_reset_password_delay() {
    // 延迟1秒，可根据需求调整时长
    sleep(1);
}

注意事项 #

• 不要直接修改WordPress核心文件，避免更新后失效；
• 统一提示的文本不要包含任何能判断用户是否存在的信息，比如不要区分“邮箱不存在”和“邮件已发送”；
• 延迟时长不宜过长，避免影响正常用户体验，1-2秒较为合适。

内容的提问来源于stack exchange，提问作者HWD