WordPress插件存储JSON值的全链路安全风险排查咨询

遗漏的风险点（除已识别的XSS外） #

前端侧 #

• 隐藏字段注入风险：序列化后的JSON直接写入表单隐藏字段的value属性时，如果未做HTML实体转义，攻击者可构造包含"的内容截断属性，插入恶意属性执行代码，即使数据仅存在JS对象中也可能触发。
• 客户端逻辑不可信风险：前端ID采用父ID+时间戳的生成规则，攻击者可直接篡改浏览器端JS逻辑、手动修改隐藏字段的JSON内容，构造非法父ID、循环嵌套、超多层级的畸形树形结构提交到后端。
• 输入校验缺失风险：未对name、emoji字段做长度、格式限制，攻击者传入的超长字符串、非法字符可能在后续存储、渲染环节触发异常。

传输侧 #

• CSRF攻击风险：WordPress插件的表单提交如果未做nonce校验，攻击者可构造跨站请求，诱导已登录的用户提交恶意树形数据，后端会无感知执行写入操作。
• 数据篡改/窃取风险：如果请求走HTTP传输未加密，中间人可直接窃取或篡改传输中的JSON数据。

后端侧 #

• JSON反序列化风险：未校验传入JSON的结构、层级、字段合法性，攻击者构造的畸形JSON可能导致解析报错，超多层级嵌套可能触发栈溢出，非预期字段可能覆盖后端逻辑变量。
• 数据清理逻辑失效风险：wp_kses( $obj, array() )仅适用于HTML字符串的标签过滤，若传入的是反序列化后的PHP数组/对象，清理逻辑完全不生效；如果直接传入JSON字符串过滤，也仅能处理HTML标签相关风险，无法覆盖其他注入场景。
• 类型转换/数据截断风险：虽然$wpdb->insert会自动做参数转义避免常规SQL注入，但如果数据库字段类型和传入数据类型不匹配（比如parent_id数据库定义为int但前端传字符串），可能触发类型转换漏洞；超长字符串超出字段长度限制也会导致数据截断，引发后续逻辑异常。
• 越权操作风险：未校验当前提交用户的操作权限，普通用户可越权修改不属于自己权限范围内的树形数据，导致数据被恶意篡改。
• 二次输出风险：后续将存储的JSON数据取出渲染到前端、或导出到其他系统时，如果未根据输出场景做二次转义，即使入库时做过清理也可能触发XSS或其他注入问题。

优化建议 #

前端优化 #

• 隐藏字段写入前对完整JSON字符串做HTML实体转义，将" < > & '等特殊字符转成对应实体编码，避免属性截断风险。
• 增加前置输入校验：限制name字段的最大长度（比如20字符），emoji字段校验是否为合法emoji字符，非法输入直接拦截并提示。
• 不要信任前端生成的ID/父ID，后端入库时重新生成自增ID或UUID，二次校验父ID是否属于当前用户的权限范围。

传输优化 #

• 表单提交添加WordPress原生nonce校验，前端用wp_nonce_field()生成校验字段，后端用wp_verify_nonce()做合法性验证，拦截CSRF请求。
• 全站启用HTTPS传输，避免中间人窃取或篡改请求数据。

后端优化 #

• JSON反序列化后先做结构合法性校验：检查仅存在允许的name/emoji/parent_id/children字段，限制树形结构最大层级（比如最多5层），校验每个字段的长度符合数据库字段限制，非法结构直接拒绝处理。
• 替换字段清理逻辑：不要用wp_kses处理整个对象，针对单个字段分别清理：name、emoji字段用WordPress原生的sanitize_text_field()清理即可，满足无HTML输入的场景要求。
• 新增权限校验：处理写入请求前，先验证当前登录用户是否拥有该数据的操作权限，比如仅团队管理员可修改团队结构。
• 输出数据按场景做转义：渲染到HTML正文用esc_html()，渲染到HTML属性用esc_attr()，赋值给JS变量用带JSON_HEX_TAG等参数的json_encode()处理，禁止直接输出原始存储数据。

内容的提问来源于stack exchange，提问作者alexmorgan.cr