继续「如何构建安全的 WordPress」系列文章，这是 WordPress 搜索安全相关的第二篇，前面我们介绍了「限制搜索频率，防止搜索滥用攻击」，今天讲讲 WordPress 搜索第二个重大的安全隐患， SEO 垃圾攻击（SEO Spam）。

SEO 垃圾攻击

什么是SEO 垃圾攻击（SEO Spam）：

SEO 垃圾攻击（SEO Spam）​，也称为 ​搜索引擎投毒（Search Engine Poisoning）​，是指黑客或黑产通过操纵搜索引擎优化（SEO）技术，向目标网站注入垃圾内容或篡改网页元素（如标题、关键词、链接等），使其在搜索引擎结果中显示恶意或无关信息，从而误导用户或提升黑产网站的排名。如下（我做个演示）：

它还有一下几个行业通用术语：

• ​SEO Spam / SEO Poisoning：通过操纵页面元素（如标题、描述）提升黑产网站在搜索引擎中的可见性。
• ​Title Tag Hijacking：直接劫持标题标签内容，属于 ​On-Page SEO 攻击 的一种。
• ​Search Index Pollution：污染搜索引擎索引的恶意行为（Google 官方文档曾用此术语描述类似攻击）。

攻击者通过构造恶意搜索请求（如 ?s=黑产关键词+域名），利用 WordPress 默认的搜索结果页动态标题机制（例如 wp_title() 函数），将恶意内容注入到 <title> 标签中。这属于 ​注入攻击（Injection Attack）​ 的子类，但更贴近 ​SEO 滥用 场景。

为什么 WordPress 经常被这类攻击呢？因为WordPress 默认将搜索关键词动态插入标题（例如 搜索：{关键词} - 网站名），而黑产通过自动化工具高频请求含恶意关键词的搜索页（如 ?s=赌博网站），导致这些关键词被收录到搜索引擎索引中，甚至排名靠前。

这类攻击造成的损害也是很大的，一旦你的网站有这类情况，可能会被搜索引擎误判为关联黑产内容，导致网站降权或标记为恶意。万一用户通过搜索敏感词进入站点，可能触发安全平台（如 Google Safe Browsing）的警告。

静态化搜索结果标题

那么怎么办呢？其实很简单，禁用 WordPress 搜索结果动态标题，静态化搜索结果标题，​比如只显示「搜索结果」这四个字：

WPJAM 搜索优化插件 已经集成了该功能，如下图所示，「搜索增强」的第三个选项「搜索结果页面标题不显示关键字，只显示「搜索结果」四个字」勾选上即可：

WPJAM 搜索优化插件 已经集上面所有的功能和相关代码，直接启用即可，点击查看 WPJAM 搜索优化插件 的详细介绍，Modular 主题也集成了，我会在介绍 WordPress 安全这系列文章的时候，将这些安全相关代码也整合到 Modular 主题中，争取打造最安全的 WordPress 主题。

之前我们开启了如何构建安全的 WordPress 系列文章，并开启了第一篇：防止用户名暴露，我们通过 5 个地方的功能和代码，让 WordPress 登录名不会出现在任何页面上或者源代码中。

除此之外，其实还有一个地方还有可能让攻击者猜测到用户名是否正确，这个就是在登录界面，如果工具者使用暴力破解的方式尝试使用用户名的时候，WordPress 默认的错误信息，可以让攻击者获得正确的用户名。

默认情况下，在登录 WordPress 的时候，如果输入的用户名不存在，WordPress 会报「未知用户名」的错误：

如果用户名正确，密码错误的话，WordPress 会报「密码不正确」的错误：

这些错误提示信息可以让让攻击者知道快速定位用户名，确定了用户名，继续暴力破解获得密码就更加方便。

所以这些错误信息最好统一改成：「用户名或者密码错误」的错误信息，让攻击者猜去吧。

add_filter('wp_login_errors', function($errors){
	$error_code	= $errors->get_error_code();

	if(in_array($error_code, ['invalid_username', 'invalid_email', 'incorrect_password'])){
		$errors->remove($error_code);
		$errors->add($error_code, '用户名或者密码错误。');
	}

	return $errors;
});

还是那句话，安全是最重要的，所以一定要重视，除了防止用户名暴露，隐藏可以让攻击者确定用户名的错误信息是非常好的安全措施。

WPJAM 用户管理插件 已经集上面所有的功能和相关代码，直接启用即可，点击查看 WPJAM 用户管理插件的详细介绍，Modular 主题也集成了，我会在介绍 WordPress 安全这系列文章的时候，将这些安全相关代码也整合到 Modular 主题中，争取打造最安全的 WordPress 主题。