WordPress GPL 插件安全吗？7步自查

GPL 许可证不等于病毒，也不等于安全认证。正规的免费插件完全可以放心按正常流程使用；要警惕的是来源不明、被重新打包的 Premium ZIP。安装前用以下七步做基础排查。

下载前7步检查表

步骤	要核对什么	发现异常怎么办
1. 来源	是否来自开发者、官方插件库或来源可追溯的平台	陌生下载跳转先暂停
2. 身份	插件主文件、作者、版本与实际功能是否相符	名称和内部版本不一致要警惕
3. 结构	目录、文件数量和数据文件是否合理	大量填充文件或功能代码缺失需复查
4. 指纹	SHA-256 是否命中已知恶意文件或可信官方校验值	命中危险指纹就停止安装
5. 代码	是否出现与业务无关的密码监听、隐藏插件、屏蔽更新	组合异常应交由专业人员审核&查验
6. 外联	是否向陌生服务器发送账号、密码、令牌	不明凭据外传属于高风险
7. 测试	是否有隔离测试环境和可恢复备份	不要在生产站直接试装陌生文件

实用命令：先查 ZIP，再谈安装

macOS / Linux：

unzip -t "plugin.zip"
unzip -l "plugin.zip"
shasum -a 256 "plugin.zip"

Windows PowerShell：

Get-FileHash -Algorithm SHA256 ".\plugin.zip"
tar -tf ".\plugin.zip"

这几条命令只检查压缩包和文件指纹，不会运行其中的 PHP 代码。ZIP 可解压、杀毒软件没有报警，都不能单独证明安全。

怎样判断 PHP 代码有没有问题？

排查时常见关键词包括 authenticate、wp_login、wp_remote_post、base64_decode、all_plugins。但不能只靠搜到一个函数名就判定恶意：合法插件也可能调用它们。要看是否形成了“读取密码 → 发送陌生服务器 → 隐藏痕迹”的完整行为链。

例如，WP资源海此次检测的 YITH 三份 ZIP 与 Fluent Community 一份 ZIP，存在完全相同的核心窃密模块，已全部被拦截。我们也检查了站内 YITH 4.29.0、4.36.0 历史包，未检出本次恶意特征。查看四份恶意 ZIP 的实际证据和下载来源。