如何在WordPress插件/主题中安全存储API密钥，防止代码库暴露？

绝对不要将API密钥硬编码到插件或主题的源码中——尤其是你的代码托管在公开仓库时，这会直接导致密钥泄露。以下是两种经过验证的安全存储方案：

方案1：通过wp-config.php定义全局常量 #

wp-config.php是WordPress的核心配置文件，通常不会被提交到代码仓库（应添加到.gitignore），非常适合存储敏感信息。

步骤： #

1. 找到网站根目录下的wp-config.php文件
2. 在/* That's all, stop editing! Happy publishing. */这一行之前，添加你的API密钥常量：

// 自定义API密钥常量（替换为你的实际密钥）
define('MY_CUSTOM_API_KEY', 'your_real_api_key_123');
define('MY_CUSTOM_API_SECRET', 'your_real_api_secret_456');

3. 保存并上传修改后的wp-config.php到服务器

在插件/主题中调用： #

在需要使用密钥的插件或主题文件中，直接调用定义好的常量即可：

// 检查常量是否已定义，避免报错
$api_key = defined('MY_CUSTOM_API_KEY') ? MY_CUSTOM_API_KEY : '';
$api_secret = defined('MY_CUSTOM_API_SECRET') ? MY_CUSTOM_API_SECRET : '';

// 处理未配置密钥的情况
if (empty($api_key) || empty($api_secret)) {
    wp_die('请在wp-config.php中配置MY_CUSTOM_API_KEY和MY_CUSTOM_API_SECRET');
}

// 后续使用密钥调用API
// example_api_call($api_key, $api_secret);

方案2：使用环境变量 #

环境变量将敏感信息与代码完全分离，适合多环境（本地、测试、生产）部署场景，不同环境可配置不同密钥。

步骤（根据服务器环境选择）： #

• Apache服务器：在网站根目录的.htaccess文件中添加：

SetEnv MY_CUSTOM_API_KEY "your_real_api_key_123"
SetEnv MY_CUSTOM_API_SECRET "your_real_api_secret_456"

• Nginx服务器：在站点配置文件中添加（需重启Nginx生效）：

fastcgi_param MY_CUSTOM_API_KEY "your_real_api_key_123";
fastcgi_param MY_CUSTOM_API_SECRET "your_real_api_secret_456";

• 本地开发/使用.env文件：如果使用Composer或环境管理工具，可创建.env文件存储密钥（务必将.env添加到.gitignore）：

MY_CUSTOM_API_KEY=your_real_api_key_123
MY_CUSTOM_API_SECRET=your_real_api_secret_456

在插件/主题中获取环境变量： #

// 从环境变量中读取密钥
$api_key = getenv('MY_CUSTOM_API_KEY') ?: '';
$api_secret = getenv('MY_CUSTOM_API_SECRET') ?: '';

// 校验密钥是否存在
if (empty($api_key) || empty($api_secret)) {
    wp_die('请配置MY_CUSTOM_API_KEY和MY_CUSTOM_API_SECRET环境变量');
}

// 调用API逻辑
// example_api_call($api_key, $api_secret);

关键注意事项 #

• 确保存储密钥的文件（wp-config.php、.htaccess、.env）权限设置为600，防止服务器上的其他用户读取
• 不要在WordPress后台设置页面存储明文密钥，数据库导出或泄露时会直接暴露敏感信息
• 开发公开插件/主题时，务必在文档中明确告知用户如何配置密钥，不要留下示例密钥在代码中

内容的提问来源于stack exchange，提问作者Tagore Chowdry K