Защита от XSS и CSRF в WordPress

Архитектурная база#

Уязвимости классов XSS (Cross-Site Scripting) и CSRF (Cross-Site Request Forgery) представляют собой критические угрозы клиент-серверной безопасности в веб-приложениях на базе WordPress. В архитектуре корпоративных решений 2026 года безопасность строится по принципу эшелонированной обороны (Defense-in-Depth) и модели нулевого доверия (Zero-Trust Architecture).

XSS-атаки направлены на внедрение и исполнение произвольного клиентского кода (обычно JavaScript) в контексте доверенного домена жертвы. Уязвимость разделяется на четыре фундаментальных типа:

1. Stored (Persistent) XSS: вредоносная полезная нагрузка сохраняется в персистентном хранилище (MySQL: таблицы wp_posts, wp_comments, wp_postmeta) и отдается сервером всем авторизованным или публичным посетителям.
2. Reflected (Non-Persistent) XSS: вредоносный вектор передается в параметрах входящего HTTP-запроса ($_GET, $_POST, $_SERVER['REQUEST_URI']) и немедленно отражается сервером в теле ответа без должной контекстной санитизации.
3. DOM-based XSS: атака реализуется исключительно в среде исполнения браузера, когда легитимный клиентский JavaScript считывает данные из неконтролируемого источника (Source: location.hash, window.name, document.referrer) и передает их в опасный приемник (Sink: element.innerHTML, document.write(), eval()), минуя серверный рендеринг.
4. Mutation XSS (mXSS): вектор эксплуатации современных парсеров разметки (включая блочный редактор Gutenberg и WYSIWYG-движки), при котором браузерный парсер DOM мутирует внешне безопасный фрагмент HTML в исполняемый скрипт в процессе санитизации.

CSRF-атаки эксплуатируют доверие веб-сервера к браузеру аутентифицированного пользователя. Браузер автоматически прикрепляет сессионные куки (включая куки аутентификации WordPress wordpress_logged_in_*) к любым межсайтовым запросам к целевому домену. Злоумышленник может инициировать несанкционированное изменение состояния системы (смену пароля администратора, генерацию Application Password, установку бэкдора через плагины) посредством скрытых HTML-форм, тегов <img> или межсайтовых AJAX-запросов.

Современный стек защиты устраняет эти угрозы на всех уровнях: строгая типизация и поздняя экранизация контекста вывода в PHP 8.4+, криптографические одноразовые токены (WordPress Nonces), политика безопасности контента третьего поколения (CSP Level 3 с динамическими криптографическими нонсами), API доверенных типов (W3C Trusted Types) и изоляция междоменных куки через атрибуты SameSite и механизм CHIPS (Cookies Having Independent Partitioned State).

Ментальная модель#

Векторы атак и механизмы защиты можно представить в виде многослойного периметра изоляции потоков данных:

+-----------------------------------------------------------------------------------------+
|                                БРАУЗЕР КЛИЕНТА (User Context)                           |
+-----------------------------------------------------------------------------------------+
| [Входящий Payload: URL/DOM] ----> [Trusted Types Policy] ----> DOM Sink (innerHTML)     |
|                                            | (Блокировка DOM XSS)                       |
|                                            v                                            |
|                                    [Safe DOM Tree]                                      |
+-----------------------------------------------------------------------------------------+
                                 |                      ^
                  1. HTTP Request|                      | 4. Protected Response
                   (SameSite/CORS)                      |   (CSP Level 3 + Nonce)
                                 v                      |
+-----------------------------------------------------------------------------------------+
|                           СЕРВЕР WORDPRESS (Core & REST API)                            |
+-----------------------------------------------------------------------------------------+
| [CORS Firewall] ----------> [CSRF Gate: Nonce Check] ----> [Access Control: Capability] |
| (Strict Origin Match)       (Time-bucketed HMAC hash)      (current_user_can)           |
|                                                                    |                    |
|                                                                    v                    |
|                                                          [Business Logic Layer]         |
|                                                                    |                    |
| [Late Escaping: esc_html/wp_kses] <--- [wp_json_encode Flags] <---+                    |
+-----------------------------------------------------------------------------------------+

На практике применяется#

1. Защита Headless WordPress и SPA (Next.js 16 / React 19): Изоляция REST API и GraphQL эндпоинтов с жестким ограничением разрешенных источников (Access-Control-Allow-Origin: https://frontend.company.com), валидация предзапросов OPTIONS и безопасная передача аутентификационных JWT-токенов или куки.
2. Многопользовательские контентные порталы с кастомным HTML: Прием пользовательских публикаций и комментариев с глубокой очисткой разметки через кастомные белые списки wp_kses() с запретом небезопасных протоколов (javascript:, data:) и опасных HTML-атрибутов (onerror, onload).
3. Административные панели плагинов с кастомными формами: Двойная верификация check_admin_referer() в связке с current_user_can('manage_options') перед обновлением критических настроек плагина в таблице wp_options.
4. Внедрение корпоративной политики CSP Level 3: Полный отказ от директивы 'unsafe-inline' в пользу генерации криптографических нонсов на хуке send_headers и связывание их с хуком wp_enqueue_scripts.

Как это работает#

Защита от XSS и CSRF строится на строгом разделении потоков доверенных и недоверенных данных.

Защита от CSRF: Механика WordPress Nonce и SameSite Cookies#

Токен WordPress Nonce не является классическим одноразовым токеном в академическом смысле (Number Used Once), а представляет собой хэш с ограниченным сроком жизни, привязанный к 12-часовым тикам времени (Time-bucketed hash). Формула вычисления токена внутри ядра:

HMAC-MD5( Action | User_ID | Token | Tick, Secret_Salt )

Поскольку злоумышленник на стороннем домене не имеет доступа к локальной сессии пользователя и секретным солям NONCE_SALT в wp-config.php, он не может вычислить или подделать валидный токен. При этом современные браузеры по умолчанию присваивают кукам статус SameSite=Lax, запрещая передачу куки при автоматических POST-запросах со сторонних сайтов. Однако полагаться исключительно на SameSite=Lax недопустимо, так как переход по ссылке (GET-запрос) или атаки через поддомены обходят этот барьер.

Защита от XSS: Безопасная передача данных в JavaScript#

Самая частая уязвимость в темах и плагинах — попытка передать данные из PHP в JavaScript с помощью простого вызова echo json_encode($data). Если массив содержит пользовательские строки со знаками <script> или </script>, HTML-парсер браузера прерывает парсинг блока <script> раньше времени, передавая управление полезной нагрузке хакера.

Стандарт 2026 года требует использования функции wp_json_encode() с обязательным набором битовых масок экранирования HTML-сущностей:

// Безопасная сериализация с экранированием угловых скобок, кавычек и амперсандов
$safe_json = wp_json_encode(
    $client_data,
    JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT | JSON_UNESCAPED_UNICODE | JSON_THROW_ON_ERROR
);

Продакшн-артефакт: Enterprise Security Shield для WordPress 7.0+ и PHP 8.4+#

Ниже представлен завершенный модуль безопасности для ядра и REST API, реализующий динамический CSP Level 3 с генерацией нонсов, безопасную изоляцию CORS для Headless-архитектур, автоматическую установку флагов SameSite и защиту от XSS.

<?php
declare(strict_types=1);

namespace AgenticLab\Security;

use WP_Error;
use WP_REST_Request;
use WP_REST_Response;

/**
* Enterprise Security Shield.
* 
* Комплексный охранный комплекс для защиты от XSS, CSRF и небезопасного CORS.
* Совместим с WordPress 7.0+ и PHP 8.4+.
*
* Author: Artur Yusupov (Fullstack Agentic Lab)
*/
final class AgenticSecurityShield {
  private static ?self $instance = null;
  private string $csp_nonce;

  /**
   * Разрешенные доверенные домены для Headless REST API.
   * @var list<string>
   */
  private const array ALLOWED_ORIGINS = [
      'https://frontend.agenticlab.com',
      'https://staging-frontend.agenticlab.com',
  ];

  private function __construct() {
      // Генерация криптографически стойкого нонса для текущего HTTP-запроса
      $this->csp_nonce = base64_encode(random_bytes(16));

      $this->register_hooks();
  }

  public static function get_instance(): self {
      return self::$instance ??= new self();
  }

  public function get_csp_nonce(): string {
      return $this->csp_nonce;
  }

  private function register_hooks(): void {
      // Заголовки безопасности HTTP
      add_action('send_headers', [$this, 'inject_security_headers'], 1);

      // Настройка SameSite флагов для авторизационных кук
      add_action('set_auth_cookie', [$this, 'enforce_samesite_cookies'], 10, 5);

      // Защита и гранулярная настройка CORS для REST API
      add_action('rest_api_init', [$this, 'configure_rest_cors'], 15);

      // Инъекция CSP-нонса в системные скрипты WordPress
      add_filter('script_loader_tag', [$this, 'attach_nonce_to_script_tag'], 10, 3);
  }

  /**
   * Внедрение корпоративных заголовков безопасности.
   */
  public function inject_security_headers(): void {
      if (headers_sent()) {
          return;
      }

      // Защита от MIME-sniffing
      header('X-Content-Type-Options: nosniff');

      // Защита от Clickjacking (запрет отображения сайта во внешних iframe)
      header('X-Frame-Options: SAMEORIGIN');

      // Изоляция кросс-доменных политик перехода
      header('Cross-Origin-Opener-Policy: same-origin');
      header('Referrer-Policy: strict-origin-when-cross-origin');

      // Принудительный HTTPS (HSTS) на 1 год с поддоменами
      if (is_ssl()) {
          header('Strict-Transport-Security: max-age=31536000; includeSubDomains; preload');
      }

      // Content Security Policy Level 3 со строгим нонсом для скриптов
      $csp_directives = [
          "default-src 'self'",
          "script-src 'self' 'nonce-{$this->csp_nonce}' 'strict-dynamic' https:",
          "style-src 'self' 'unsafe-inline' https://fonts.googleapis.com",
          "font-src 'self' data: https://fonts.gstatic.com",
          "img-src 'self' data: https: blob:",
          "connect-src 'self' https://api.agenticlab.com",
          "frame-ancestors 'self'",
          "base-uri 'self'",
          "form-action 'self'",
          "object-src 'none'",
      ];

      header('Content-Security-Policy: ' . implode('; ', $csp_directives));
  }

  /**
   * Инъекция криптографического нонса во все теги <script>, регистрируемые WordPress.
   */
  public function attach_nonce_to_script_tag(string $tag, string $handle, string $src): string {
      if (empty($tag)) {
          return $tag;
      }

      // Добавляем атрибут nonce, если он отсутствует
      if (!str_contains($tag, 'nonce=')) {
          return str_replace('<script ', sprintf('<script nonce="%s" ', esc_attr($this->csp_nonce)), $tag);
      }

      return $tag;
  }

  /**
   * Принудительная установка атрибута SameSite=Lax и флага Secure для кук сессии.
   */
  public function enforce_samesite_cookies(string $cookie, int $expire, int $expiration, int $user_id, string $scheme): void {
      // В современных версиях PHP и веб-серверах параметры кук перезаписываются через заголовки
      if (!headers_sent() && is_ssl()) {
          header_remove('Set-Cookie');
          setcookie(
              LOGGED_IN_COOKIE,
              $cookie,
              [
                  'expires'  => $expire,
                  'path'     => COOKIEPATH,
                  'domain'   => COOKIE_DOMAIN,
                  'secure'   => true,
                  'httponly' => true,
                  'samesite' => 'Lax',
              ]
          );
      }
  }

  /**
   * Конфигурация безопасного CORS для Headless REST API.
   */
  public function configure_rest_cors(): void {
      remove_filter('rest_pre_serve_request', 'rest_send_cors_headers');

      add_filter('rest_pre_serve_request', function ($value) {
          $origin = get_http_origin();

          // Проверяем входящий Origin по строгому белому списку
          if ($origin !== '' && in_array($origin, self::ALLOWED_ORIGINS, true)) {
              header("Access-Control-Allow-Origin: {$origin}");
              header('Access-Control-Allow-Methods: GET, POST, PUT, PATCH, DELETE, OPTIONS');
              header('Access-Control-Allow-Credentials: true');
              header('Access-Control-Allow-Headers: Authorization, X-WP-Nonce, Content-Type, X-Requested-With');
              header('Access-Control-Max-Age: 86400');
          }

          // Обработка Preflight-запроса OPTIONS
          if (isset($_SERVER['REQUEST_METHOD']) && $_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
              status_header(204);
              exit;
          }

          return $value;
      });
  }

  /**
   * Безопасная сериализация данных для вывода в клиентский JS-контекст.
   *
   * @param array<string, mixed> $data
   * @throws \JsonException
   */
  public static function serialize_for_script(array $data): string {
      return wp_json_encode(
          $data,
          JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT | JSON_UNESCAPED_UNICODE | JSON_THROW_ON_ERROR
      );
  }
}

// Инициализация модуля
add_action('init', [AgenticSecurityShield::class, 'get_instance'], 0);

Распространённые ошибки#

Резюме архитектора#

Защита от XSS и CSRF в современной разработке на WordPress 7.0+ строится на парадигме Zero-Trust:

• Никакого доверия входящему транспорту: Одноразовые криптографические токены (WordPress Nonces) в обязательной связке с проверкой полномочий current_user_can().
• Контекстная изоляция вывода: Использование wp_json_encode со всеми масками JSON_HEX_* для JavaScript и позднее контекстное экранирование (esc_html, esc_attr, esc_url).
• Сетевой и браузерный периметр: Двухуровневая защита через HTTP-заголовки Content-Security-Policy Level 3 со строгими псевдослучайными нонсами, строгий белый список CORS для Headless-архитектур и атрибуты куки SameSite=Lax.