WordPress 頭部清理完整指南：移除冗餘代碼提升安全與效能

前言

WordPress wp_head() 預設輸出大量 Meta 標籤、連結、版本資訊，不僅增加頁面體積，更洩露系統細節增加攻擊面。本文系統整理頭部清理代碼，逐項解析各 remove_action 目的、安全影響與保留建議，提供生產環境可直接部署的完整方案。

一、核心清理代碼（放入 functions.php 頂部）

<?php
// === Feed 相關 ===
remove_action('wp_head', 'feed_links', 2);           // 文章/評論 Feed
remove_action('wp_head', 'feed_links_extra', 3);     // 分類/標籤 Feed

// === 離線編輯器介面 ===
remove_action('wp_head', 'rsd_link');                // RSD (Really Simple Discovery)
remove_action('wp_head', 'wlwmanifest_link');        // Windows Live Writer

// === 關係鏈接 ===
remove_action('wp_head', 'index_rel_link');          // 首頁連結
remove_action('wp_head', 'parent_post_rel_link', 10, 0);  // 父文章
remove_action('wp_head', 'start_post_rel_link', 10, 0);   // 第一篇文章
remove_action('wp_head', 'adjacent_posts_rel_link_wp_head', 10, 0); // 上/下篇

// === 版本資訊 ===
remove_action('wp_head', 'wp_generator');            // WordPress 版本號

// === 短連結 ===
remove_action('wp_head', 'wp_shortlink_wp_head', 10, 0);
remove_action('template_redirect', 'wp_shortlink_header', 11, 0);

// === 近期評論 Widget 樣式 ===
add_action('widgets_init', 'my_remove_recent_comments_style');
function my_remove_recent_comments_style() {
    global $wp_widget_factory;
    remove_action('wp_head', array(
        $wp_widget_factory->widgets['WP_Widget_Recent_Comments'],
        'recent_comments_style'
    ));
}
?>

二、逐項功能解析與保留建議

三、關鍵項深度解析

1. wp_generator —— 必須移除的版本洩露

<meta name="generator" content="WordPress 6.4.2" />

攻擊者可針對特定版本已知漏洞發起自動化攻擊。無任何功能損失，生產環境強制移除。

2. rsd_link / wlwmanifest_link —— 離線編輯器攻擊面

<link rel="EditURI" type="application/rsd+xml" title="RSD" href="https://example.com/xmlrpc.php?rsd" />
<link rel="wlwmanifest" type="application/wlwmanifest+xml" href="https://example.com/wp-includes/wlwmanifest.xml" />

• 暴露 xmlrpc.php 端點，易遭暴力破解、DDoS（Pingback 攻擊）
• 現代編輯器（Gutenberg、手機 App）使用 REST API，無需 XML-RPC
• 建議同時在 .htaccess/Nginx 封鎖 xmlrpc.php

3. rel_canonical —— SEO 關鍵，謹慎移除

// 如確不需要，可移除
remove_action('wp_head', 'rel_canonical');

作用：指定規範 URL，防重複內容扣分（分頁、參數、多 URL 同內容）
建議：保留，除非你有完整自定 Canonical 策略

四、remove_action 參數詳解

remove_action( string $tag, callable $function_to_remove, int $priority = 10, int $accepted_args = 1 ) : bool

• $tag：掛鉤名稱（如 wp_head）
• $function_to_remove：回調函數名（字串或陣列）
• $priority：優先序，**必須與 add_action 時相同**才能移除
• $accepted_args：參數數量，**必須匹配**

常見失敗原因：優先序不匹配（如預設 10 vs 實際 20）、方法在類中需用 array($this, 'method') 或 array('Class', 'method')

五、進階：條件式移除（特定頁面保留）

function conditional_head_cleanup() {
    // 單篇文章保留相鄰導航
    if (is_single()) return;
    
    remove_action('wp_head', 'adjacent_posts_rel_link_wp_head', 10, 0);
}
add_action('wp_head', 'conditional_head_cleanup', 1); // 優先執行

六、驗證清理效果

1. 瀏覽器開發者工具 → Elements → <head> 區域
2. 搜尋 generator、rsd、wlwmanifest、rel="prev" 等關鍵字
3. 使用 curl -I https://example.com 檢查 Link 標頭（shortlink_header）

七、總結清單

[✅] wp_generator           - 版本洩露，必移除
[✅] rsd_link               - XML-RPC 暴露，必移除
[✅] wlwmanifest_link       - WLW 介面，必移除
[✅] feed_links*            - 無 Feed 需求，移除
[✅] *_rel_link             - 關係鏈接，移除
[✅] shortlink*             - 短連結，移除
[✅] recent_comments_style  - Widget 樣式，移除
[⚠️]  rel_canonical        - SEO 關鍵，保留
[⚠️]  adjacent_posts_rel   - 瀏覽器預載/SEO，可保留

八、結語

WordPress 頭部清理是「減法優化」的典型實踐：移除無用代碼減少頻寬、降低攻擊面、提升爬蟲效率。掌握 remove_action 機制與各 Action 用途，並建立專案標準清單，是 WordPress 專案上線前的必做項目。記住：**預設不安全，精簡才安全**。