WordPressのパスワード再設定メールのリンクが無効になる問題を修正する

2017.10.03 6,159 0

しばらくブログを更新していませんでした。最近は特に書くこともなく、国慶節の長期休暇を目前にして、何か暇つぶしになることを書いてみようと思いました。ちょうど今日、WordPressの管理画面のパスワードを変更しようとしたところ、WordPressのちょっとした不具合（脆弱性というほどではなく、単なる小さなバグ）を見つけました。パスワードを変更すると、システムからパスワード再設定用のリンクがメールで送信されます。本来は問題ないはずなのですが、メールを正常に受信してリンクをクリックすると、「パスワード再設定リンクが無効です」と表示されてしまいます。

実は、メールで送信されるアドレスの末尾に（>）記号が余計に付いているのです。これはもともと、WordPressが見た目を整えるために前後に山括弧を付けているのですが、逆効果となり、メールソフトによってアドレスの一部として解析されてしまいます。そのため、クリックしても当然無効になってしまいます。解決方法は簡単で、以下の2つの方法があります。

方法一

テーマのルートディレクトリにある functions.php ファイルへ、以下のコードを挿入するだけです

PHP

/**
 * 修复 WordPress 找回密码 bug
 * 注：https://blog.ikxin.com/archives/80.html
 */
function reset_password_message( $message, $key ) {
    if ( strpos($_POST['user_login'], '@') ) {
        $user_data = get_user_by('email', trim($_POST['user_login']));
    } else {
        $login = trim($_POST['user_login']);
        $user_data = get_user_by('login', $login);
    }
    $user_login = $user_data->user_login;
    $msg = __('有人要求重设如下帐号的密码：'). "\r\n\r\n";
    $msg .= network_site_url() . "\r\n\r\n";
    $msg .= sprintf(__('用户名：%s'), $user_login) . "\r\n\r\n";
    $msg .= __('若这不是您本人要求的，请忽略本邮件，一切如常。') . "\r\n\r\n";
    $msg .= __('要重置您的密码，请打开下面的链接：'). "\r\n\r\n";
    $msg .= network_site_url("wp-login.php?action=rp&key=$key&login=" . rawurlencode($user_login), 'login') ;
    return $msg;
}
add_filter('retrieve_password_message', reset_password_message, null, 2);

この方法の欠点は、テーマを変更した後にコードを再度追加する必要があることです。

方法二

もう1つの方法は、WordPressのルートディレクトリにある wp-login.php ファイルを編集することです

以下を見つけます

PHP

$message .= '<' . network_site_url("wp-login.php?action=rp&key=$key&login=" . rawurlencode($user_login), 'login') . ">\r\n";

次のように変更します

PHP

$message .= network_site_url("wp-login.php?action=rp&key=$key&login=" . rawurlencode($user_login), 'login') ;

つまり、（<）と（>\r\n）を削除するだけです。ただし、この方法はWordPressをアップグレードすると無効になります。アップグレード後にこのファイルは置き換えられるため、wp-login.php を再度編集する必要があります。そのため、1つ目の方法をおすすめします。

WordPressのパスワード再設定メールのリンクが無効になる問題を修正する

方法一

方法二

コメント

コメントを投稿