讲个有点魔幻的真实故事。
你的WordPress博客，正常更新，文章写得挺好，订阅量也不少。但突然有一天，忠实读者告诉你：“你的博客Feed里怎么有个博彩网站链接？”
你一脸懵，点开自己的Feed一看——没有啊，我的文章都在，链接都正常。但读者说的是真的，因为Feed源代码里，多了一个你从来没见过的域名：wellformedweb.org，指向一个博彩网站。
这不是你的问题，也不是读者的错觉。这是WordPress某个上古版本埋下的一颗”定时炸弹”，最近爆了。
故事要从WordPress的RSS2 Feed生成代码说起。
在某个很老很老的WordPress版本中，Feed生成模块里硬编码了一个第三方域名：wellformedweb.org。这个域名在当时可能有一些合法的用途（据说是跟某个Web服务相关的小工具），WordPress的开发者在代码里引用了它。
但问题来了：wellformedweb.org 这个域名，后来过期了，被人抢注了。
抢注者当然不会闲着。他们把这个域名做成了一个博彩网站。然后，所有使用老版本WordPress的博客——当读者通过RSS阅读器订阅这些博客时——都会在Feed里看到 wellformedweb.org 的链接。
读者点击那个链接，轻则被重定向到博彩网站，重则……好吧，实际上这次的劫持不算特别恶意（它只是在Feed里加链接，不直接挂马，不自动弹广告），但问题是：你的博客信誉受损了。
读者会觉得你”被黑了”，或者你”和博彩网站有合作”。对于认真做独立博客的人来说，这种误解是很伤品牌的。
老实说，看到这条消息的时候，我的第一反应是：WordPress这种老牌项目，居然也会埋这种雷？
但仔细想想，其实情有可原。
WordPress是一个有着快20年历史的项目。20年间，无数人参与过代码开发，很多当年的”最佳实践”放到今天来看就是安全隐患。当年的开发者可能只是顺手引用了一个小工具域名，没想到这个域名会被遗忘、过期、被抢注。
这本质上是一个软件供应链安全问题：你的博客依赖的不仅是自己的代码，还有整个生态里的各种第三方服务。当这些第三方服务消失或被劫持时，你的博客也会受到牵连。
这让我想到另一个类似的故事：Chrome浏览器早年内置了一些扩展接口，后来有些被恶意软件利用了。软件的寿命很长，但互联网域名的寿命不一定。
秋风于渭水（tjsky.net）博主发现这个问题后，建议所有WordPress博主做以下检查：
打开你的博客Feed地址（通常是 /feed/ 或 /feed/atom/），用浏览器开发者工具或者直接查看源代码，搜索 wellformedweb 关键词。
如果搜索结果里有这个域名的链接，恭喜你，中招了。
怎么修复？
方法一：升级WordPress到最新版本。最新版已经移除了这个硬编码域名。
方法二：如果无法升级，可以通过主题的 functions.php 添加过滤器来移除这个链接。代码很简单，在functions.php里加几行即可，具体的代码秋风博客里有详细说明。
方法三：彻底检查你的主题和插件，看有没有其他硬编码的外部链接或域名——这才是治本。
这件事让我想到一个词：上古债务。
独立博客生态里，有很多类似的问题：
这些都是独立博客运营中会遇到的问题，但平时大家不太会主动去想。wellformedweb.org 这个事件，是一个很好的提醒：独立博客的自主性是优势，但也是责任——你需要管理好自己生态里的所有”债务”。
我是觉得，这件事不应该成为”WordPress不行”的证据。WordPress依然是目前最强大的博客平台，它的灵活性让无数人建起了自己的网站。
但这件事提醒我们：无论用哪个平台，保持更新、定期检查，都是必要的。
WordPress的核心团队响应得很快，发现问题后迅速在更新版本中移除了硬编码链接。但如果你用的是几年没更新的老版本，或者用的是一个早已停止维护的主题……那这颗雷，就一直在那里等着爆。
对于独立博主来说，养成定期检查博客健康状况的习惯，比什么都重要。
检查你的Feed，检查你的外链，检查你的图片，检查你的评论区——这不是多疑，这是对自己读者负责。
毕竟，读者信任你，把你的博客放在他的阅读器里。你至少要保证，他们看到的还是你写的东西。
正在加载评论...