无WordPress后台权限，如何检测插件是否需更新？

嘿，针对你受委托审计WordPress站点但拿不到后台权限的情况，我整理了几个实操性拉满的检测方法，帮你搞定核心版本和插件版本的检查：

一、检测WordPress核心版本 #

• 查看页面源码的Generator标签：右键页面选择「查看页面源代码」（或按Ctrl+U），搜索<meta name="generator"，通常会看到类似<meta name="generator" content="WordPress 6.2.2">的内容，这里的数字就是当前核心版本。不过注意有些站点会刻意隐藏这个标签，这时候换别的方法。
• 访问readme.html文件：直接在浏览器地址栏输入你的站点域名/readme.html，这个文件是WordPress默认自带的，里面会清晰显示核心版本号，除非站点特意删除或屏蔽了它。
• 查看wp-includes/version.php：访问你的站点域名/wp-includes/version.php，这个文件里定义了$wp_version = 'X.X.X';，直接就能看到版本号。不过部分站点会通过服务器配置限制访问这类核心文件，要是打不开就跳过。
• 从静态资源参数推断：在页面源码里找wp-includes目录下的静态资源（比如dashicons.min.css、jquery.js），它们的URL通常会带?ver=X.X.X的参数，这个参数值就是WordPress的核心版本号。

二、检测插件是否为最新版本 #

要判断插件是否最新，得先拿到当前安装的版本，再对比官方最新版本，以下是获取当前插件版本的方法：

• 查看插件的readme.txt：每个正规插件都会在wp-content/plugins/插件目录下有readme.txt文件，访问你的站点域名/wp-content/plugins/插件名称/readme.txt，找到Stable tag:这一行，后面的数字就是当前安装的版本。之后你可以去WordPress插件库搜索该插件，对比官方标注的最新版本即可。
• 查看插件主文件的注释：插件的主PHP文件（通常和插件同名）开头的注释块里，一般会有Version: X.X.X的字段，访问你的站点域名/wp-content/plugins/插件名称/插件名称.php就能看到。
• 从插件静态资源的版本参数判断：和核心版本类似，插件加载的CSS/JS文件URL里的?ver=X.X.X参数，大多就是插件的版本号。你可以用浏览器开发者工具（按F12打开）切换到「Network」标签，筛选「CSS」或「JS」，找到插件相关的资源就能看到这个参数。
• 检查页面源码中的插件痕迹：部分插件会在页面源码里留下版本信息，比如一些SEO、安全类插件，可能会在meta标签或注释里标注自己的版本，不过这个方法不通用，只能作为补充。

另外要注意，有些站点会通过安全插件或服务器配置限制访问插件目录下的文件，如果某个方法失效，换另一个就行啦。

内容的提问来源于stack exchange，提问作者Rich Starkie