我正在为一个在wp配置文件中没有任何密钥的人开发一个网站。这不是一个严重的问题吗？我知道我可以生成这些，但我想知道这是否会有任何副作用。。此外，由于该网站遭到黑客攻击，目前是否存在安全风险。
示例：
define(\'AUTH_KEY\', \'put your unique phrase here\');
define(\'SECURE_AUTH_KEY\', \'put your unique phrase here\');
define(\'LOGGED_IN_KEY\', \'put your unique phrase here\');
define(\'NONCE_KEY\', \'put your unique phrase here\');
让这些人违约确实是一个安全问题，但这不是一个非常严重的问题。
为了缓解已知默认salt的问题，WordPress有意识别那些值何时保留为“在此处放置您的唯一短语”，并且不会将该短语用作键/salt。相反，它在内部生成随机的64个字符的盐，并将其存储在数据库中，以用作盐值。WordPress也会忽略这些盐中的任何重复值，并且在这些情况下也会生成随机值，因此在这些盐中使用的任何相同的默认值都将被拒绝，因为攻击者可能知道这些值。
现在，这仍然不理想，因为盐随后存储在数据库中。如果攻击者碰巧获得了对数据库的读取访问权，或者获得了对数据库的转储，那么他们可能会强行执行哈希并获得进一步的访问权。但默认值不用于实际盐渍。
理想情况下，应该在配置文件中定义SALT，因为攻击者需要获取该文件的内容，因此读取数据库不会得到任何有用的信息。
请注意，您可以随时更改这些值，除了必须再次登录之外，不会产生任何严重后果，因为所有cookie等都会更改。
是的，可预测（或已知）密钥存在严重的安全漏洞。
例如，这些密钥（盐）用于创建用于登录的安全cookie。我在this post, 但结果是，如果盐是已知的，那么就相对容易强制登录cookie，从而访问管理员。
保守估计，这种暴力袭击大约需要一周时间。
来源：http://codeseekah.com/2012/04/09/why-wordpress-authentication-unique-keys-and-salts-are-important/
是否可以更改设置，以便wp config。php可以上移两个目录级别（而不是默认的1级）？这将允许将核心WP文件从public\\u html移动到子目录，同时允许WP config。php将移动到public\\u html之上，因此无法公开访问。