WP GraphQL公开请求暴露用户ID是否属于WordPress安全问题？

问题原因分析 #

你遇到的这个情况是GraphQL接口权限控制粒度不足导致的，dXNlcjox 经过Base64解码后为 user:1，通常对应系统中第一个注册的初始超级管理员账号，该ID暴露的常见原因有三类：

• 权限控制仅覆盖字段级，未做数据行级校验：服务端的解析器逻辑只对 email 这类敏感字段做了非授权访问的脱敏（设为null），但没有对 users 查询返回的用户列表做过滤，默认保留了首个用户节点返回给未授权请求。
• 框架/中间件默认配置未修改：如果你使用的是开箱即用的GraphQL服务（如WPGraphQL、Hasura、Strapi内置GraphQL接口），这类工具默认会允许匿名用户访问ID为1的管理员的基础公开字段，很多开发者上线前没有修改这一默认配置。
• 解析器逻辑存在bug：用户列表过滤逻辑存在疏漏，比如仅实现了管理员返回全量列表的逻辑，非管理员场景的列表过滤逻辑未生效，误返回了第一个用户节点。

是否属于安全隐患 #

该情况属于明确的安全隐患，风险点包括：

• 暴露有效用户ID后，攻击者可以通过Base64解码确认这是系统的超级管理员账号，后续可针对该账号发起定向暴力破解、钓鱼社工等攻击。
• 这类自增格式的用户ID可被批量枚举，攻击者可以构造dXNlcjoy（user:2）、dXNlcjoz（user:3）等ID，遍历测试其他接口是否存在越权访问漏洞。
• 该现象说明你的权限控制逻辑存在明显遗漏，若后续迭代中新增其他用户字段但未补全权限校验，很可能进一步泄露手机号、住址等更敏感的用户信息。

修复建议 #

• 优先给users查询的解析器增加行级权限控制：未授权请求直接返回空的nodes数组，而非返回部分用户节点。
• 全量校验所有GraphQL接口的权限逻辑：确保所有涉及敏感数据的查询，都同时做行级权限（哪些数据可以访问）和字段级权限（哪些字段可以返回）的双重校验，不能仅依赖字段脱敏。
• 若使用第三方GraphQL框架/组件，检查匿名访问的权限配置，关闭匿名用户对用户集合的所有访问权限，除非业务确实需要公开部分用户的非敏感信息。

内容的提问来源于stack exchange，提问作者but-why