XML-RPC是WordPress早期用于远程调用的通信协议，因其易被暴力破解和DDoS攻击利用，建议通过禁用该服务来显著提升站点安全性。
很多站长在检查服务器日志时,会发现大量来自陌生IP的POST请求，目标直指xmlrpc.php文件，这并非正常的业务交互，而是黑客在进行自动化扫描和暴力破解，理解这一协议的本质，并掌握正确的屏蔽手段，是构建WordPress安全防线的重要一环。
什么是XML-RPC协议及其安全隐患
XML-RPC（XML Remote Procedure Call）是一种允许不同计算机之间通过XML格式进行远程过程调用的协议，在WordPress中，它主要作为API接口，允许第三方应用（如移动App、博客客户端）与站点进行数据交互。
为什么它成为攻击者的首选目标
尽管XML-RPC功能强大，但其设计初衷并未充分考虑现代互联网的安全威胁，业内专家指出，该协议存在几个致命弱点，使其成为黑产眼中的“肥肉”。
- 暴力破解效率高：传统登录页面通常有频率限制或验证码保护，但XML-RPC允许攻击者在一次请求中尝试多个用户名和密码组合，或者通过`system.multicall`方法批量执行操作，极大地降低了攻击成本。
- DDoS攻击放大器：攻击者可以利用XML-RPC的`pingback`功能，向你的服务器发送伪造的请求，让你的服务器去访问其他服务器，这不仅消耗你的带宽，还可能让你成为分布式拒绝服务攻击的跳板。
- 资源消耗巨大：每次XML-RPC请求都需要解析XML数据并执行数据库查询，即使请求被拒绝，服务器CPU和内存的消耗依然存在，可能导致正常用户访问变慢。
哪些场景下必须保留XML-RPC
并非所有用户都需要禁用它,如果你使用以下功能，则需权衡利弊：
- 使用WordPress官方移动App发布文章。
- 使用Jetpack插件进行站点统计和监控。
- 通过第三方博客客户端（如Windows Live Writer）远程发布内容。
对于大多数仅通过后台管理站点的个人博主或中小企业而言,这些功能并非刚需，关闭XML-RPC是性价比极高的安全优化措施。
如何彻底屏蔽XML远程过程调用服务
屏蔽XML-RPC有多种方法，从修改配置文件到使用插件，各有优劣，以下介绍三种主流且有效的方案，你可根据自身技术能力选择。
通过.htaccess文件屏蔽（推荐Apache/Nginx用户）
这是最直接、性能开销最小的方法，通过服务器配置文件直接拒绝访问xmlrpc.php文件，请求在到达WordPress核心代码前就被拦截。
Apache服务器操作路径
- 使用FTP或主机控制面板的文件管理器,找到网站根目录下的
.htaccess文件。 - 在文件末尾添加以下代码：
# Block WordPress xmlrpc.php requests <Files xmlrpc.php> order deny,allow deny from all </Files>
保存并上传覆盖原文件。
Nginx服务器操作路径
对于使用Nginx的服务器,需要在配置文件中添加规则。
- 进入Nginx配置目录,编辑对应的站点配置文件（通常为
nginx.conf或/etc/nginx/sites-available/yourdomain）。 - 在
server块中添加以下代码：
location = /xmlrpc.php {
deny all;
access_log off;
log_not_found off;
}
重启Nginx服务使配置生效。
使用WordPress插件屏蔽
如果你不熟悉服务器配置,或者使用共享主机无法修改.htaccess，插件是最简单的选择。
- Disable XML-RPC：这款插件轻量级，专注于关闭XML-RPC功能，同时提供详细的日志记录，方便你监控是否有异常请求。
- Wordfence Security：作为全功能安全插件，它内置了防火墙规则，可以自动检测并阻止针对XML-RPC的恶意扫描。
安装并激活插件后,通常无需额外配置即可生效，建议在禁用后，检查你的移动App或Jetpack是否还能正常使用，以确保没有误伤正常业务。
通过functions.php代码屏蔽
这种方法无需安装额外插件,适合喜欢精简站点的开发者。
- 进入WordPress后台,点击“外观”>“主题文件编辑器”。
- 找到
functions.php文件。 - 在文件末尾添加以下代码：
add_filter('xmlrpc_enabled', '__return_false');
保存文件。
此代码通过钩子将XML-RPC功能强制返回为假，从而禁用该协议。
屏蔽后的验证与效果评估
完成屏蔽操作后,验证是否成功至关重要，不要假设配置已生效，必须亲自测试。
如何验证屏蔽是否成功
- 浏览器测试：在浏览器地址栏输入`https://你的域名/xmlrpc.php`，如果配置成功，你应该看到403 Forbidden（禁止访问）或404 Not Found（未找到）错误，而不是XML响应数据。
- 在线工具检测：使用在线XML-RPC测试工具，输入你的域名进行扫描，如果结果显示“Connection Refused”或“403 Error”，则说明屏蔽有效。
- 服务器日志监控：观察服务器访问日志，如果之前大量的`POST /xmlrpc.php`请求消失，或返回状态码变为403/404，则表明攻击流量已被拦截。
屏蔽带来的性能提升
屏蔽XML-RPC不仅能提升安全性，还能间接改善网站性能，据行业共识认为，减少不必要的请求解析和数据库查询，能够降低服务器负载，对于高流量站点，这种优化效果尤为明显。
- 减少CPU占用：拦截恶意请求意味着服务器无需处理XML解析和PHP执行，CPU使用率显著下降。
- 节省带宽：虽然单个XML-RPC请求体积不大，但海量请求累积起来会占用可观的带宽资源。
- 提升响应速度：服务器资源释放后，正常用户的请求能得到更快的响应，提升用户体验。
常见疑问解答
禁用XML-RPC后，Jetpack还能正常工作吗？
这取决于你的Jetpack版本和使用方式,较新版本的Jetpack倾向于使用WordPress REST API而非XML-RPC，如果禁用后Jetpack出现连接错误，建议先更新Jetpack至最新版本，若仍无法使用，可考虑仅屏蔽暴力破解而非完全禁用，或改用REST API替代方案，多数情况下，现代插件已适配REST API，禁用XML-RPC不会造成主要功能失效。
屏蔽XML-RPC会影响移动App发布文章吗？
是的,如果你依赖WordPress官方移动App或旧版博客客户端，禁用XML-RPC将导致无法远程发布文章，这些应用通常通过XML-RPC与服务器通信，若需继续使用，建议不要完全禁用，而是通过IP白名单或防火墙规则限制访问来源，仅允许受信任的设备连接。
如何区分正常XML-RPC请求和恶意攻击？
正常请求通常来自你已知的第三方应用,且频率较低，恶意攻击则表现为：来自全球各地的大量IP、高频次的POST请求、尝试多个用户名、以及针对pingback的异常调用，通过分析服务器日志中的User-Agent和请求频率，可以清晰区分两者，若发现大量异常请求，立即实施屏蔽措施是最佳选择。
XML-RPC虽有其历史价值，但在当前网络环境下，其安全风险远大于便利性，通过简单的配置或插件，即可有效屏蔽该服务，为WordPress站点构建更坚固的安全屏障，对于绝大多数用户而言，禁用XML-RPC是提升网站安全性和性能的最优解之一。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e4%bb%80%e4%b9%88%e6%98%afxml-rpc%e5%8d%8f%e8%ae%ae%ef%bc%9f%e5%a6%82%e4%bd%95%e5%b1%8f%e8%94%bdxml%e8%bf%9c%e7%a8%8b%e8%bf%87%e7%a8%8b%e8%b0%83%e7%94%a8%e6%9c%8d%e5%8a%a1/
