如何禁用/限制WordPress REST API？关闭接口方法与教程
内容提要
本文介绍WordPress禁用或限制REST API的方法，包括使用插件、修改wp-config.php或functions.php。建议选择性限制匿名访问以保安全，彻底禁用可能导致Gutenberg编辑器及插件故障，因此推荐仅允许登录用户访问，并移除API链接，平衡安全与功能。
延伸解读
权衡：彻底禁用与选择性限制
文章明确指出，彻底禁用REST API可能导致Gutenberg编辑器无法正常工作，以及依赖API的插件（如表单、页面构建器、缓存插件）功能失效。相比之下，选择性限制（如仅允许登录用户访问）能在提升安全性的同时保持网站功能完整。因此，在决定禁用前，应评估自身网站对REST API的依赖程度，避免因小失大。
安全风险：用户枚举与数据泄露
默认的/wp-json/wp/v2/users端点可能暴露用户名和ID，为暴力破解提供便利。此外，未授权访问可能让攻击者批量抓取内容，甚至获取未公开的草稿或自定义数据。限制匿名访问能有效降低这些风险，但需注意，彻底禁用可能误伤合法功能，建议优先采用过滤用户枚举等精准措施。
实施建议：代码与插件选择
文章推荐使用rest_authentication_errors过滤器实现选择性限制，并移除头部API链接以隐藏接口。同时提醒，直接修改wp-config.php或functions.php的简单禁用代码可能引发Fatal error，需谨慎使用。对于非技术用户，可选用Disable JSON API等插件，但需注意插件可能同样影响依赖API的功能。
Q&A
如何禁用WordPress REST API？
禁用WordPress REST API有三种常见方法：使用插件（如Disable JSON API）、修改wp-config.php文件添加过滤器、或在主题的functions.php中添加代码。但彻底禁用可能导致Gutenberg编辑器及插件故障，因此推荐选择性限制匿名访问。
WordPress REST API有哪些安全风险？
主要风险包括：用户枚举（通过/wp-json/wp/v2/users暴露用户名和ID）、内容被恶意抓取、服务器资源消耗增加、以及自定义端点可能泄露敏感数据。限制匿名访问可降低这些风险。
为什么建议限制WordPress REST API的匿名访问？
限制匿名访问可以防止用户名枚举、防止内容被恶意抓取、减少服务器资源消耗、保护敏感数据。同时，允许登录用户访问可确保Gutenberg编辑器和依赖REST API的插件正常工作。
彻底禁用WordPress REST API会有什么后果？
彻底禁用可能导致Gutenberg编辑器无法加载或保存内容，许多插件（如表单插件、页面构建器、缓存插件）可能失效，外部应用集成（如移动应用、Zapier）也会中断。因此不推荐彻底禁用。
如何选择性限制WordPress REST API？
推荐在functions.php中添加代码，使用rest_authentication_errors过滤器，仅允许已登录用户访问，并移除REST API链接。也可通过禁用特定端点（如用户枚举）或基于IP限制来实现。
WordPress REST API是什么？
WordPress REST API是WordPress 4.4版本引入的，提供基于JSON格式的API调用，允许外部应用与WordPress站点进行数据交互，如获取文章列表、用户数据等。
