WordPress在FrankenPHP下xmlrpc要不要顺手关掉-php教程-PHP中文网

frankenphp环境下xmlrpc.php更危险，因其协程长连接易被攻击耗尽资源，且无子进程隔离，恶意请求会污染整个worker内存；应优先在nginx层用location规则硬拦截，而非仅依赖wordpress过滤器。

wordpress在frankenphp下xmlrpc要不要顺手关掉

要关，而且建议在 FrankenPHP 环境下优先用服务器层屏蔽（location 规则），而不是只靠 add_filter('xmlrpc_enabled', '__return_false')。

FrankenPHP 下 `xmlrpc.php` 为什么更危险

FrankenPHP 是基于 Swoole 的 PHP 运行时，常以「协程 + 长连接」方式处理请求。而 xmlrpc.php 的典型攻击模式（如暴力爆破、Pingback DDoS）恰恰擅长耗尽这类模型的并发资源：一个恶意 XML 请求可触发数百次数据库查询或远程 HTTP 调用，协程不退出，连接不释放，很快拖垮整个 FrankenPHP worker 进程池。

与传统 Apache/Nginx + PHP-FPM 不同，FrankenPHP 没有「子进程隔离」机制——单个恶意请求可能污染整个 worker 的内存上下文，影响其他正常请求。

攻击者扫描 /xmlrpc.php 时，FrankenPHP 会完整加载 WordPress 核心再执行过滤器，开销远高于静态拒绝
add_filter('xmlrpc_enabled', '__return_false') 只在 WordPress 初始化后生效，此前已消耗大量 CPU 和内存
FrankenPHP 默认启用 fastcgi_finish_request() 类似行为，但 xmlrpc.php 中的 Pingback 处理仍会阻塞 worker

FrankenPHP 推荐的关闭方式：Nginx `location` 层硬拦截

FrankenPHP 通常作为 Nginx 的 upstream 使用，因此最有效的做法是在 Nginx 配置中直接 deny all，让请求根本进不到 PHP 层。

Word Handler

创建、读取和编辑Word文档（.docx），支持模板、表格和样式。

下载

在你的站点 server 块里加入：

location ~* ^/xmlrpc\.php$ {
    deny all;
    return 403;
}

必须写 ^/xmlrpc\.php$，避免误杀类似 /wp-xmlrpc.php 或路径含 xmlrpc 字符串的合法文件
不要只写 location = /xmlrpc.php，FrankenPHP 有时会带 query string（如 /xmlrpc.php?rsd），严格等号匹配会失效
如果用了自定义 WordPress 路径（如子目录安装），确保该 location 在 root 或 alias 指令之后生效

如果必须保留部分功能（比如 Jetpack），别信 `__return_false`

Jetpack 等插件实际依赖的是 wp_xmlrpc_server 类和特定方法（如 jetpack.* 命名空间下的 RPC 方法）。单纯禁用 xmlrpc_enabled 会导致 Jetpack 同步失败，但又没真正阻止攻击面——因为 pingback.ping 等高危方法仍可能被调用。

真要保 Jetpack，应配合 remove_xmlrpc_pingback_ping + add_filter('xmlrpc_methods', ...) 显式剔除危险方法
更稳妥的做法是：用 FrankenPHP 的 request_id 或真实 IP 做白名单，在 Nginx 层只放行 Jetpack.com 的回调 IP 段（如 192.0.78.0/24）访问 /xmlrpc.php
切勿在 functions.php 里用 die() 或 exit 强退——FrankenPHP 的协程调度器可能无法正确回收资源

验证是否真的关严了

别只看 WordPress 后台有没有报错，要实测 HTTP 层响应：

用 curl -I https://yoursite.com/xmlrpc.php，返回必须是 403 Forbidden 或 404 Not Found，不能是 200 OK + XML 错误体
检查 FrankenPHP 日志（frankenphp.log 或 error_log），确认没有 xmlrpc 相关的 PHP 警告或 fatal error
如果开了 access_log，搜索 "xmlrpc.php" 字样，应无任何 2xx/3xx 记录