WordPress 原生调试模式主要用于记录 PHP 代码错误，无法直接查看漏洞修复历史或黑客攻击日志。若需排查更新引发的报错可临时开启，但生产环境务必关闭错误显示。漏洞修复记录需查阅官方更新日志，安全审计则依赖安全插件或服务器日志。

调试模式的真实用途与安全配置

WP_DEBUG 是开发工具，用于记录 PHP 警告、notices 和错误。混淆这两者可能导致你在排查安全问题时找错方向。这不是通过命令行直接切换的开关，而是需要编辑站点根目录下的配置文件。

1. 备份配置文件

在操作前，通过 FTP 或文件管理器下载 wp-config.php 到本地，防止配置错误导致站点无法访问。

2. 编辑常量

在 wp-config.php 中找到 /* That's all, stop editing! Happy publishing. */ 这一行之前，添加或修改以下代码：

define( 'WP_DEBUG', true );
define( 'WP_DEBUG_LOG', true );
define( 'WP_DEBUG_DISPLAY', false );
@ini_set( 'display_errors', 0 );

3. 设置权限

确保 wp-content 目录可写，以便生成 debug.log 文件，但建议限制该文件的访问权限，避免敏感信息泄露。

4. 关闭调试

问题解决后，务必将 WP_DEBUG 改回 false，或删除相关代码，避免日志文件无限增长占用空间。

如何查看官方漏洞修复历史

若需了解 WordPress 核心或插件修复了哪些安全漏洞，应查阅官方发布记录：

• 核心版本：访问 WordPress News 官网查看版本发布详情，通常标记为“Maintenance and Security Release”。
• 插件/主题：在 WordPress 后台“插件”列表查看更新日志，或访问 WordPress.org 插件详情页的“Changelog”标签。
• 安全通告：关注 WordPress Security 官方博客，获取高危漏洞的详细修复说明。

安全审计与攻击日志排查方案

不要指望通过调试日志发现黑客入侵痕迹，若需安全审计，请采用以下方案：

• 安全插件：安装 Wordfence、Sucuri 或 iThemes Security 等专业插件，它们能记录登录尝试、文件修改和恶意请求。
• 服务器日志：查阅 Nginx 或 Apache 的 access.log 和 error.log，分析异常 IP 访问和 HTTP 状态码。
• 数据库日志：若开启慢查询日志，可排查是否存在异常数据库负载。

验证方法与常见风险

验证是否生效：

1. 检查文件：访问站点触发一个已知的小错误，查看 wp-content 目录下是否新生成了 debug.log 文件。
2. 查看内容：打开日志文件，确认里面记录了 PHP 错误信息，而不是空白。
3. 前端确认：在浏览器访问站点，确认页面上没有直接显示任何错误提示文字。

常见风险与坑：

• 生产环境裸奔：千万不要将 WP_DEBUG_DISPLAY 设为 true，这会把服务器路径、数据库结构等敏感信息直接展示给访客。
• 日志不切割：WordPress 原生不会自动轮转 debug.log，长期开启会导致文件过大，影响磁盘空间甚至写入性能。
• 误当安全日志：调试日志不包含攻击者 IP 或 payload 信息，无法用于溯源攻击。

参考来源

• WordPress Developer Handbook, Debugging in WordPress, https://developer.wordpress.org/apis/handbook/debugging/
• WordPress Security Releases, https://wordpress.org/news/category/security/