DISALLOW_FILE_EDIT est invalide. wp-config est écrit correctement ?

ouvre disallow_file_edit L'objectif principal de lainterdire l'utilisation de qqch. WordPress Editeur de fichiers de thème/plugin dans le backend(Theme/Plugin Editor), afin de réduire le risque de "bourrage de code malveillant directement en arrière-plan" après avoir été volé. Il n'affecte pas l'édition visuelle d'Elementor/Gutenberg et n'empêche pas les modifications FTP/SSH/panel des fichiers. La clé pour que cela fonctionne vraiment est la suivante :Écrire au bon endroit, écrire la bonne syntaxe, s'assurer qu'elle n'est pas écrasée par d'autres configurations..

1) DISALLOW_FILE_EDIT : emplacement le plus correct

Conclusion : le wp-config.php miles et doit précéder cette ligne :

/* C'est tout, arrêtez l'édition ! Bonne publication */

La raison est très simple :wp-config.php existent WordPress Commencer le chargement à un stade précoce.disallow_file_edit Il doit être défini en arrière-plan avant de charger les fonctions correspondantes, faute de quoi on risque de se retrouver dans une situation "apparemment écrite mais inefficace".

2. wp-config.php écriture standard (modèle recommandé)

existent wp-config.php Trouvez le paragraphe suivant dans (généralement vers le bas du fichier) :

/* C'est tout, arrêtez l'édition ! Bonne publication */

Puis écrire la configuration dans sonau sommet dePar exemple :

define('DISALLOW_FILE_EDIT', true) ;

Il est recommandé de l'associer à d'autres éléments liés à la sécurité, par exemple :

/** Renforcement de la sécurité */
define('DISALLOW_FILE_EDIT', true) ;

3. les méthodes courantes d'écriture d'erreurs (entraînant des déclarations non valides ou incorrectes)

3.1 Placé sous notes (chargé trop tard)

Si vous écrivez :

/* C'est tout, arrêtez d'éditer ! Bonne publication. */
require_once ABSPATH . 'wp-settings.php' ;

En dessous de ces deux lignes, il est pratiquement inutile.

3.2 Guillemets manquants, points-virgules manquants, écriture en signes de pleine largeur

Il doit s'agir d'un caractère anglais de demi-largeur avec un point-virgule :

✅ C'est exact :

define('DISALLOW_FILE_EDIT', true) ;

❌ Exemple d'erreur :

define(DISALLOW_FILE_EDIT, true) // moins de guillemets
define('DISALLOW_FILE_EDIT', true) // moins de points-virgules
define('DISALLOW_FILE_EDIT', true) ; // virgule chinoise

3.3 Définitions en double (peuvent être écrasées ou signalées comme des avertissements)

Si vous ou un plugin de sécurité/environnement d'hébergement l'a déjà défini une fois, le redéfinir peut présenter un conflit. Une façon plus stable de l'écrire :

if (!defined('DISALLOW_FILE_EDIT')) {
    define('DISALLOW_FILE_EDIT', true) ; }
}

4) Qu'est-ce que DISALLOW_FILE_EDIT désactive ? Qu'est-ce qu'il ne désactive pas ?

4.1 Désactivation

WP backend :
- Apparence → Editeur de fichiers de thème
- Plugins → Éditeur de fichiers de plugins

4.2 Ne sera pas désactivé

Édition visuelle Elementor / Gutenberg
Modifier un fichier via FTP/SFTP/SSH/Gestionnaire de fichiers du panneau de configuration
Installation et mise à jour des plugins/thèmes (celui-ci sera utilisé) DISALLOW_FILE_MODS)
Un code malveillant écrit dans un fichier par le biais d'un exploit (par exemple, les téléchargements écrivent dans le webshell).

5) Vous pouvez également avoir besoin de DISALLOW_FILE_MODS (une distinction importante).

Beaucoup de gens conduisent disallow_file_editLa raison de l'expression "plugin/theme altéré, code inséré" est que l'attaque a eu lieu dans la base de données duEn dehors de l'éditeur. Si vos processus opérationnels le permettent (par exemple, vous déployez avec Git/CI), il est recommandé d'activer les deux :

define('DISALLOW_FILE_MODS', true) ;

Il s'arrêtera :

Installation/mise à jour/suppression du thème du plugin dans le backend
Mises à jour en ligne du back-office WordPress centre

⚠️ Note : Lorsque cette option est activée, vous devrez procéder à une mise à jour par téléchargement ou déploiement manuel.

6) Comment puis-je confirmer rapidement qu'il est en vigueur ?

6.1 Vérification de l'interface du backend (la plus intuitive)

Lorsqu'il est ouvert, le backend est généralement :

Impossible de voir le menu de l'éditeur de thème/plugin
ou entrer l'éditeur demandera l'absence d'autorisation

6.2 Confirmation par code/page d'information (plus fiable)

existent wp-config.php Écrivez-le, nettoyez le cache (cache de page/cache d'objet/CDN) et regardez ensuite les résultats.

Si vous utilisez un plugin ou une plateforme d'hébergement sécurisée, le menu sera parfois caché, ce qui entraînera des faux positifs. Il est donc préférable d'utiliser la fonction "Le fichier peut-il encore être modifié en arrière-plan ?

7. les 8 points de contrôle d'erreur (par ordre de priorité) qui restent "inefficaces" lorsqu'ils sont bien écrits

Vous ne modifiez pas la copie courante de wp-config.php.
Les erreurs les plus fréquentes concernent les sites multiples, les sous-répertoires, les liens logiciels et les chemins d'accès aux panneaux.
Les sites disposent d'autres profils chargés qui peuvent être remplacés par d'autres profils
Par exemple, certains hôtes inscrivent des constantes critiques dans la configuration au niveau du serveur ou définissent des constantes portant le même nom au début du démarrage.
Vous l'avez écrit dans wp-settings.php Après avoir exigé
L'emplacement n'est pas bon.
Il existe des modules d'extension MU ou des modules d'extension de sécurité qui définissent/modifient le comportement au moment de l'exécution.
wp-content/mu-plugins/ Il peut y avoir des stratégies obligatoires.
La mise en cache d'objets/OPcache donne l'impression que le code n'est pas mis à jour.
Redémarrez PHP-FPM/nettoyez l'OPcache (si vous en avez la permission), ou attendez que le cache expire.
Exception d'analyse PHP due à l'encodage d'un fichier ou à des caractères cachés
Par exemple, la nomenclature, le copier-coller avec des caractères invisibles.
Les permissions de wp-config.php sont déraisonnables
Un réglage trop lâche est également dangereux, tandis qu'un réglage trop strict peut entraîner une illisibilité. La recommandation générale est 640 ou 600 (en fonction de l'utilisateur et du groupe que vous représentez).
Vous pensez que "l'éditeur est toujours là", mais c'est l'autre portail qui modifie le fichier.
Si le fichier est toujours branché, la priorité est de vérifier le FTP/panel/SFTP, la fuite de compte, la vulnérabilité du plugin, l'exécution des téléchargements, etc.

8) Recommandations de sécurité : transformer les "interrupteurs" en "systèmes"

Si votre objectif est de réduire le risque de falsification, il est recommandé de faire au moins ces 5 choses :

ouvre disallow_file_edit(Anti-bourrage de code de l'éditeur de backend)
S'allume en cas de besoin DISALLOW_FILE_MODS(Rédaction de l'installation/la mise à jour de l'anti-background)
interdites wp-content/uploads Mise en œuvre de PHP (suppression des chaînes de téléchargement courantes à partir de la source)
Tous les administrateurs activent 2FA + mots de passe forts + pas de réutilisation des mots de passe
Contrôler l'intégrité des fichiers (alertes en cas de modification du hachage des fichiers, ce qui prend beaucoup moins de temps qu'un dépannage a posteriori).

9. configurations recommandées

Désactive uniquement l'éditeur :

if (!defined('DISALLOW_FILE_EDIT')) {
    define('DISALLOW_FILE_EDIT', true) ; }
}

Désactiver l'éditeur + désactiver les modifications de fichiers en arrière-plan (plus fort) :

if (!defined('DISALLOW_FILE_EDIT')) {
    define('DISALLOW_FILE_EDIT', true) ; }
}
if (!defined('DISALLOW_FILE_MODS')) {
    define('DISALLOW_FILE_MODS', true) ; }
}

Placement : tous les textes sont rédigés en /* C'est tout, arrêtez l'édition ! Bonne publication */ Avant.

Contactez nous
Vous n'arrivez pas à lire le tutoriel ? Contactez-nous pour une réponse gratuite ! Aide gratuite pour les sites personnels et les sites de petites entreprises !	Service clientèle WeChat
① Tel : 020-2206-9892
② QQ咨询：1025174874
(iii) Courriel : info@361sale.com
④ Horaires de travail : du lundi au vendredi, de 9h30 à 18h30, jours fériés.