对于 Google 商家资料插件，加密凭据本应是默认做法。以明文存储 OAuth 客户端密钥的插件会让你的企业和客户面临风险。本指南说明在 2026 年应当对一个构建完善的插件抱有什么期望。
为什么凭据必须加密
OAuth 密钥能够完全访问你的 Google 商家资料。泄露的密钥可被用来以你的名义发帖、查看你的评价、污染你的数据分析。在选项表中以明文存储是最常见的攻击面。
静态加密可以封堵数据库转储这一攻击途径。
正确的加密是如何工作的
GMB Poster 使用基于你站点 AUTH_KEY 常量的 AES-256-CBC 加密。加密密钥从不出现在数据库中。凭据在写入前加密，只有在调用 Google API 需要时才解密。
GMB Poster 插件也从不记录凭据，也从不在 REST API 响应中返回凭据。
如何验证你的插件
直接查看选项表。搜索你的 OAuth 客户端密钥。如果你发现它是明文，说明插件不安全。如果你看到的是加密后的字节，说明插件做得没错。
检查 REST API 响应中任何本应保密的字段。如果密钥出现在响应里，那就是一次泄露。
轮换策略
在员工离职时、怀疑凭据被泄露时，或作为每年的安全惯例，轮换 OAuth 密钥。加密存储让轮换变得轻而易举，因为插件会自动完成重新加密。
把谁有权限轮换凭据写入你的事故响应计划。
不止是密钥
访问令牌和刷新令牌同样敏感，需要同样的加密处理。有些插件加密了客户端密钥，却把令牌留作明文。那仍然是一次泄露。
确认整个凭据生命周期都受到保护。
常见问题
加密凭据现在是 Google 商家资料插件的标准做法吗？
对于新插件来说是的。较旧的插件则参差不齐。在把生产凭据托付给插件之前，先对它进行审查。
如果我的 AUTH_KEY 改变了会怎样？
你需要重新输入凭据。插件无法用新密钥解密旧的存储。
AUTH_KEY 会是单点故障吗？
它是 WordPress 核心安全的一部分。把它当作任何其他密钥一样对待，谨慎轮换。
这会拖慢发布速度吗？
不会。每次调用的解密只需几微秒。
想确保你的 Google 商家资料凭据得到妥善保护吗？Defyn 为澳大利亚企业设计并维护这类工作流程。
