一介資男(Mxp.TW) 開發工具箱

• 安全強化：停用 XML-RPC、隱藏 REST 使用者資料、移除多種前端 metadata/oEmbed/shortlink 輸出、隱藏作者資訊與頭像、停用 self-ping。
• HTTP 標頭：可輸出 frame-options、XSS protection、content type options、cross-domain policy 與 HSTS 類型標頭。
• 檔案修改保護：預設啟用 DISALLOW_FILE_MODS / DISALLOW_FILE_EDIT ，並保護指定管理員不被一般後台列表、編輯、刪除或降權流程影響。
• 登入與後台調整：登入頁 Logo、登入後導向、管理信箱同步、註冊開關、封鎖使用者登入、顯示內容/分類/使用者 ID、使用者註冊時間欄位、隱藏非管理員更新提示與 Customize 選單。
• 媒體與上傳政策：可停用縮圖產生、停用大圖縮放、上傳圖片大小限制、自動填入圖片標題/alt/content，並對特權管理員與一般使用者套用不同的檔案大小與 MIME 規則。
• Bot/垃圾防護：WordPress 公開登入、註冊、忘記/重設密碼、多站註冊、留言與文章密碼表單使用 action-bound honeypot 與短效簽章 token；WooCommerce 與 Contact Form 7 則各自提供預設關閉的獨立整合開關。
• 前台 Basic Auth：可啟用簡易前台驗證，並以指定 query key/cookie 暫時略過。
• 外部 HTTP 請求管控：可封鎖指定網域，或啟用全域封鎖後只允許白名單。
• 站台健康回報與自動更新排程：可透過排程回報站台資訊，也可在排程內更新指定外掛。
• 網域到期檢查：Dashboard widget 顯示 home_url() 、 site_url() 、多站、額外指定網域與 filter 網域的 RDAP/WHOIS 結果，包含到期日、註冊商、狀態、DNSSEC、Name Server、原始資料與通知狀態。

Honeypot 常用設定與行為：

• MDT_ENABLE_LOGIN_BOT_FUCKOFF ：預設 true 。保護 WordPress 登入、註冊、忘記密碼、重設密碼、多站註冊及文章密碼表單，不會自動啟用 WooCommerce 表單保護。
• MDT_ENABLE_COMMENT_SPAM_FUCKOFF ：預設 true 。保護 WordPress 標準留言；WooCommerce 商品評論由獨立開關控制。
• MDT_ENABLE_WOOCOMMERCE_HONEYPOT ：預設 false 。啟用後完整保護 WooCommerce My Account/Classic 登入、註冊、忘記密碼、重設密碼，以及 Classic 商品評論與 woocommerce/product-review-form block。標準 form hook／ comment_form() 會正常注入；主題覆寫模板即使漏掉內部 hook，只要仍由 WooCommerce wc_get_template() 載入並保留原生提交欄位，也會由 template fallback 精準補入一次。
• MDT_ENABLE_CONTACT_FORM_7_HONEYPOT ：預設 false 。啟用後保護 Contact Form 7 表單；token 會綁定個別表單 ID，驗證失敗由 Contact Form 7 原生 spam 流程處理。
• MDT_HONEYPOT_MIN_SECONDS ：表單至少停留秒數，預設 2 。
• MDT_HONEYPOT_MAX_SECONDS ：token 最長有效秒數，預設 900 （15 分鐘）。
• token 綁定表單 action、選用 context、時間與隨機值；缺少、格式錯誤、簽章錯誤、跨表單使用、過快、過期、誘餌欄位缺少或被填入都會被拒絕。WordPress、WooCommerce 帳號與商品評論回應 HTTP 403；Contact Form 7 標記為 spam 且不寄信。
• 表單 HTML 內含可直接使用的短效 token；前端另以 no-store POST 端點在載入、表單 reset、BFCache 還原及到期前刷新，因此完整頁面快取不會固定沿用過期 token。JavaScript 或刷新端點失效時不會放寬後端驗證。
• 版本更新後須清除既有頁面/CDN 快取，確保舊版、未載入刷新腳本的表單不會殘留。
• 主題直接 include 自製表單、移除 WooCommerce 原生 nonce/提交欄位、改走自訂 AJAX/REST endpoint，已脫離 WooCommerce template/hook 契約，無法安全推斷表單語意，必須另外使用對應的輸出與 server-side 驗證 hook 整合。WPForms，以及 WooCommerce Checkout Blocks/Store API 結帳建帳與 Order Confirmation 延後建帳，目前也不在保護範圍內。

網域到期檢查常用設定：

• MDT_DOMAIN_EXPIRY_CHECK ：是否啟用網域到期檢查，預設 true 。
• MDT_DOMAIN_EXPIRY_NOTICE_DAYS ：到期通知門檻，預設 90, 60, 30, 14, 7, 3, 1 天。
• MDT_DOMAIN_EXPIRY_EXTRA_DOMAINS ：額外指定檢查網域，支援陣列或逗號分隔字串。
• MDT_DOMAIN_EXPIRY_OBSERVE_HOSTS ：是否自動記錄非設定來源的 HTTP_HOST，預設 false 。
• MDT_DOMAIN_EXPIRY_OBSERVED_HOST_RETENTION_DAYS ：觀察到的 HTTP_HOST 紀錄保留天數，預設 180 。
• MDT_DOMAIN_EXPIRY_MAX_DOMAINS_PER_RUN ：單次排程最多查詢數量，預設 20 。
• MDT_DOMAIN_EXPIRY_STORE_RAW_DATA ：是否儲存 RDAP/WHOIS 原始資料，預設 true 。

Dev Tools: Site Manager – Mxp.TW（多站管理）

Site Manager 用來把多個 WordPress 站台整理成一個維運主控台，同時保留既有匯出/匯入與快速登入流程。

• 匯出目前站台資訊：包含站台 URL、站名、管理員信箱、IPv4、IPv6、DNS A/NS 記錄、Whois/網域到期資訊、Site Manager 版本、登入協議版本、外掛/佈景主題/核心更新、PHP/MySQL 版本、檔案異動、cron 狀態與環境快照。
• 匯入其他站台匯出的設定字串，經格式、URL、passkey 與欄位結構驗證後仍儲存在 mxp_dev_sites_info_db 站台選項；新版主控台會同步寫入 mxp_sm_sites 、 mxp_sm_site_credentials 、 mxp_sm_site_snapshots 、 mxp_sm_site_events 、 mxp_sm_site_jobs 、 mxp_sm_site_job_logs 等資料表。
• 主控台顯示總覽卡片、站台狀態、環境/客戶/標籤備註、更新數、網域到期、最近 heartbeat、事件紀錄與遠端工作紀錄；後台輸出會移除 passkey/secret/token/HMAC/signature 並轉義顯示內容。
• 快速登入：新版站台使用具版本標記的加密 token、HMAC-SHA256、audience、jti 與 15 秒時間窗；目標站會以 transient 防止同一 token 重放。舊版匯入資料仍維持相容的 legacy token，建議重新匯入以升級登入協議。
• 安全配對：先以既有匯出字串內的 passkey 作一次性 bootstrap，完成後改用獨立 remote secret；Hub/Agent REST 請求使用 HMAC-SHA256 簽署 canonical request、5 分鐘時間窗與 replay 防護。
• 遠端控制開放 Level 0/1 安全動作：heartbeat、capabilities、inventory、refresh_snapshot、clear_object_cache、flush_rewrite_rules、trigger_cron、rotate_pair_credential、issue_login_ticket。一次性登入票券只在當次 AJAX 回應交付，不寫入 job 結果或 dashboard state。
• Level 2 中風險操作已提供基本中控能力：update_plugin、update_theme、update_core_minor、activate_plugin、deactivate_plugin。每站預設關閉，需在該站 policy 啟用；production 站另需勾選 production Level 2。所有 Level 2 都必須先 dry-run，由後端簽發 10 分鐘 confirmation token，execute 時再驗 token；同站同時只允許一個 Level 2 running job，multisite execute 預設拒絕。
• Level 3（DB search replace/reset、刪除或任意安裝外掛/佈景、編輯檔案、使用者/角色變更等）仍預設未實作且政策拒絕，不顯示可執行按鈕。
• 重置站台密鑰：刪除本機 passkey 並在下次使用時重建；既有匯出字串會因此失效，已配對的 remote secret 也應解除配對後重新建立。
• 支援單站 Tools 頁面與 multisite Network Admin 頁面；頁面與 AJAX 使用同一個可 filter 的 capability。

匯出的字串包含 passkey，等同可請求快速登入與配對 bootstrap 的高權限憑證。請只在可信任管理員與可信任傳輸渠道中保存或分享；若曾外洩，請立即重置站台密鑰、解除配對並重新匯出/配對。

Dev Tools: Hide Login Page – Mxp.TW（登入路徑防護）

Hide Login Page 沒有設定頁，透過常數控制：

• MDT_LOGIN_PATH ：預設 admin-staff ，登入網址會變成 /admin-staff/ ；未啟用 pretty permalink 時使用 /?admin-staff 。
• MDT_LOGIN_PATH_DISPLAY ：預設 true ；設為 false 時可在外掛列表隱藏此子外掛。

啟用後， wp-login.php 、 /login 、 wp-register 、 wp-activate 與非 multisite 的 wp-signup 會走 404 流程；未登入的 /wp-admin/ 請求也會被導到 /404 。此外掛也會改寫 WordPress 產生的登入 URL、redirect URL、welcome email 中的登入連結，以及 WooCommerce 密碼重設連結。

Dev Tools: Feedback Reporter – Mxp.TW（全站問題回報）

Feedback Reporter 沒有設定頁，透過 MDT_FEEDBACK_REPORTER_* 常數控制。啟用外掛後預設啟用回報功能；只允許登入並符合 role / user ID 規則的使用者在前台與後台看到回報入口。若要關閉，可在 wp-config.php 將 MDT_FEEDBACK_REPORTER_ENABLE 定義為 false 。

• 前台使用明確的「回報問題」浮動按鈕；後台使用低干擾的小型「回報」入口，避免遮住主要操作或一直提醒使用者回報。
• 使用者點擊後才啟動回報流程，可選擇擷取目前頁面「當下捲動視野」，或開啟獨立錄影控制器錄製最長 60 秒短片；控制器留在獨立視窗中，原頁跳轉或重新整理不會中斷錄影，錄影中會顯示倒數與停止按鈕，不必錄滿一分鐘。
• 截圖模式可在截圖上畫框、箭頭、文字、自由畫筆與馬賽克；錄影模式會送出錄影檔與自動產生的封面截圖。若自動 DOM 截圖無法呈現互動畫面，可上傳 PNG/JPEG/WebP 或從剪貼簿貼上外部截圖取代，再填寫問題描述。
• 前端只送到本站 REST endpoint；webhook URL 與 secret 不會輸出到瀏覽器。
• WordPress server-side 驗證登入、nonce、role/user ID、rate limit、截圖與錄影 MIME，並在 webhook 前重新檢查與壓縮截圖大小；未設定 webhook 時仍會保存本機 log/截圖/錄影，設定 webhook 後才送出外部通知；匿名回報也會保存解析後的回報 IP 與 IP hash，方便追蹤濫用來源。
• 回報 IP 會優先使用可信任反向代理還原出的真實用戶 IP：預設會從 Cloudflare 官方 ips-v4 / ips-v6 清單取得並快取可信 edge CIDR，抓取失敗時才回退到內建 Cloudflare 範圍；只有當 REMOTE_ADDR 落在可信代理 CIDR 內才讀取 CF-Connecting-IP 、 CF-Connecting-IPv6 、 True-Client-IP 、 X-Real-IP 、 Forwarded 或 X-Forwarded-For ，避免直接打到 origin 的請求偽造 client IP header。若 origin 已由防火牆限制只能經 Cloudflare 進站，也仍建議保留此閘門作為防呆；不建議無條件信任 header。
• log 目錄預設在 wp-content/uploads/mxp-dev-tools/feedback-reporter/ ，每次回報會寫入不可預測的隨機子目錄與隨機檔名；Apache/LiteSpeed 會透過 .htaccess 關閉目錄列表並拒絕 JSON log 直連，但允許圖片/影片媒體檔讓內部 webhook 連結可直接開啟，nginx 需由站台自行決定是否加上等效規則；再依保留天數與檔案數上限自動清理，移除 Feedback Reporter 子外掛時預設會刪除 log/截圖/錄影。
• Discord webhook 會以附件方式上傳截圖並在訊息中預覽；Slack incoming webhook 只送出 JSON + Block Kit 文字欄位與 Log / 檔案連結，不使用 image block，避免站台圖片 URL 被主機資安策略阻擋時造成整包通知失敗。

常用常數：

• MDT_FEEDBACK_REPORTER_ENABLE ：是否啟用全站回報，預設 true ；可設為 false 關閉。
• MDT_FEEDBACK_REPORTER_ADMIN_ENABLE ：是否在 wp-admin 輸出低干擾後台回報入口，預設 true 。
• MDT_FEEDBACK_REPORTER_ADMIN_BUTTON_MODE ：後台入口樣式，預設 subtle-tab ，另可用 compact-pill 。
• MDT_FEEDBACK_REPORTER_WEBHOOK_URL ：接收回報的 webhook URL；預設要求 HTTPS，未設定時仍可回報並保存本機 log/截圖/錄影，但不送出外部通知。
• MDT_FEEDBACK_REPORTER_WEBHOOK_FORMAT ：webhook payload 格式，預設 auto ；Discord 與 Slack incoming webhook URL 會自動送出相容格式，也可設為 generic 、 discord 或 slack 。
• MDT_FEEDBACK_REPORTER_WEBHOOK_SECRET ：webhook HMAC 簽章 secret，預設空字串。
• MDT_FEEDBACK_REPORTER_WEBHOOK_REQUIRE_HTTPS ：是否要求 webhook URL 使用 HTTPS，預設 true ；設為 false 時可接受 HTTP，但仍會拒絕 private/reserved IP。
• MDT_FEEDBACK_REPORTER_WEBHOOK_SSL_VERIFY ：是否驗證 HTTPS 憑證，預設 true ；設為 false 時可接受自簽憑證。
• MDT_FEEDBACK_REPORTER_ALLOWED_ROLES ：允許回報的角色，預設 administrator 。
• MDT_FEEDBACK_REPORTER_ALLOWED_USER_IDS ：額外允許回報的使用者 ID。
• MDT_FEEDBACK_REPORTER_DENIED_USER_IDS ：禁止回報的使用者 ID，優先權最高。
• MDT_FEEDBACK_REPORTER_DENIED_PATHS ：不輸出回報入口的 path prefix，預設只排除 /wp-login.php 。
• MDT_FEEDBACK_REPORTER_LOG_RETENTION_DAYS ：本機 log/截圖/錄影保留天數，預設 30 。
• MDT_FEEDBACK_REPORTER_MAX_LOG_FILES ：本機 log/截圖/錄影檔案數上限，預設 500 。
• MDT_FEEDBACK_REPORTER_TRUST_PROXY_HEADERS ：是否在可信反向代理後方解析真實用戶 IP，預設 true 。
• MDT_FEEDBACK_REPORTER_TRUSTED_PROXY_CIDRS ：Cloudflare 官方清單抓取失敗時使用的 fallback Cloudflare 代理 CIDR；此閘門是為了防止繞過 CDN 直打 origin 時偽造 CF-Connecting-IP / X-Forwarded-For 。
• MDT_FEEDBACK_REPORTER_ADDITIONAL_TRUSTED_PROXY_CIDRS ：額外信任的自家 proxy / load balancer CIDR，會與 Cloudflare 官方清單合併；為相容舊設定，若 MDT_FEEDBACK_REPORTER_TRUSTED_PROXY_CIDRS 內含不屬於內建 Cloudflare fallback 的 CIDR，也會視為額外可信代理。
• MDT_FEEDBACK_REPORTER_CLOUDFLARE_IPS_AUTO_UPDATE ：是否自動抓取 Cloudflare 官方 IP 清單更新可信代理 CIDR，預設 true 。
• MDT_FEEDBACK_REPORTER_CLOUDFLARE_IPS_CACHE_TTL ：Cloudflare IP 清單快取秒數，預設 7 天；抓取失敗時使用上一份有效 transient 或 MDT_FEEDBACK_REPORTER_TRUSTED_PROXY_CIDRS fallback。
• MDT_FEEDBACK_REPORTER_CLOUDFLARE_IPS_V4_URL / MDT_FEEDBACK_REPORTER_CLOUDFLARE_IPS_V6_URL ：Cloudflare IP 文字清單來源，預設 https://www.cloudflare.com/ips-v4 與 https://www.cloudflare.com/ips-v6 。
• MDT_FEEDBACK_REPORTER_MAX_VIDEO_SECONDS ：錄影模式最長秒數，預設 60 。
• MDT_FEEDBACK_REPORTER_MAX_VIDEO_BYTES ：錄影檔案大小上限，預設 50 MiB 。
• MDT_FEEDBACK_REPORTER_DELETE_LOGS_ON_UNINSTALL ：移除 Feedback Reporter 子外掛時是否刪除 log/截圖/錄影，預設 true 。

使用風險

• 此套件設計給可信任管理員、開發者與站台維護者使用，不適合開放給一般後台使用者。
• 搜尋取代、資料庫最佳化、WordPress 重置、批次改作者、外掛/主題取代都會改寫資料或檔案；操作前請先確認備份可還原。
• 主要工具箱會讀取並顯示 wp-config.php 、 .htaccess 、 .user.ini 、PHP 設定與資料庫資訊。
• ZipArchive 、網路連線、檔案系統權限與主機 PHP 限制會影響打包、匯出、安裝、替換與前端回報轉送功能。