什么是XML-RPC，为什么以及如何禁用它？-下一个课程

XML-RPC是一种远程远程过程调用协议。XML-RPC允许运行在不同操作系统上和不同环境中的两个应用程序通过Web（通过HTTP）相互通信。描述实现方法的信息以XML编码。

XML-RPC协议是SOAP协议的前身。尽管SOAP协议较新并且支持更多功能，但是XML-RPC仍在使用，并且比SOAP更受青睐，这恰恰是因为它简单易用。

许多Web应用程序都使用XML-RPC，例如WordPress、Drupal等。

在WordPress，XML-RPC 用于为pingback的功能，用于远程发布的文章和需要与外部应用程序的特定通信的其它功能。

通过Pingback功能，可以通知另一个博客的作者您已在其站点上放置了指向其文章的链接（反之亦然）。

可将本地安装在计算机上的Weblog程序用于文章的远程发布。即使没有互联网连接，也可以创建文章。激活互联网连接后，应用程序会将已经创建的文章发送到WordPress网站。

每个WordPress安装都包含位于系统根目录中的xmlrpc.php文件。

通过此文件使用XML-RPC功能。通过xmlrpc.php，WordPress可以接收和发送XML-RPC信号并与其他外部应用程序进行通信。

实际上，xmlrpc.php会带来安全风险。它为您的站点创建了一个附加访问点，这可能使其容易受到外部攻击。每次对XML-RPC进行身份验证时，都需要提供用户名和密码，相比安全性来说，这个功能并不那么重要。

例如，为了防止暴力攻击，您可以限制在WordPress网站上的登录尝试。但是，启用XML-RPC后，该限制将不存在。尝试登录没有上限，这意味着确定的网络犯罪分子获得访问权限只是时间问题。

通过禁用XML-RPC，您可以关闭黑客的潜在进入区域。当然，没有XML-RPC，就不可能进行远程访问。您需要直接登录WordPress以进行发布和更新。因此，如果移动应用程序和远程软件是您进行网站更新的方法，则不能关闭该功能。

在Apache环境下使用.htaccess禁用XML-RPC

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
allow from 123.123.123.123
</Files>

如果您要允许访问xmlrpc.php的特定IP地址，则可以在上面的代码段中替换123.123.123.123。否则，您可以完全删除此行。

注意：如果您的网站上有.htaccess文件，但您看不到它，请访问设置并单击“显示隐藏的文件”。

你可以在对应网站的配置文件中，添加下面的代码禁用 XML-RPC：

location ~* /xmlrpc.php$ {
    allow 123.123.123.123;
    deny all;
}

如果您要允许访问xmlrpc.php的特定IP地址，则可以在上面的代码段中替换123.123.123.123。否则，您可以完全删除此行。

现在，除了您选择的特定用户外，所有人都将无法远程使用xmlrpc.php。

XML-RPC 是WordPress用于远程发布文章和博客互动通信的桥梁，也是黑客攻击的重要对象，所以，出于安全性考虑，你应该根据自己的实际需求选择是否禁用该功能。

来源：www.wpdaxue.com

什么是XML-RPC，为什么以及如何禁用它？