Release 1.1.1 — 安全修复：wp-config 备份泄露 · itfkybb/Cache-Boost

1.1.1

安全修复版本，建议所有 1.1.0 及更早版本升级。

旧版本在后台点「一键写入 WP_CACHE」时，会把 wp-config.php 复制到网站根目录，文件名形如：

wp-config.php.hcb.bak-20261102033730

这个后缀不以 .php 结尾，Web 服务器不会执行它，而是把文件当纯文本原样输出。任何人访问该地址即可下载完整的 wp-config.php——包含数据库账号密码与 8 个 AUTH 密钥。

生产环境实测：HTTP 200，3,670 字节，源码完整可读。

备份改存 wp-content/hcb-backups/
该目录自动写入拒绝 HTTP 访问的 .htaccess（同时兼容 Apache 2.4 的 Require all denied 与 2.2 的 Order deny,allow）
文件名追加 8 位随机串：wp-config-时间戳-随机串.bak
文件权限 0600，目录权限 0700

旧版本已经生成的备份文件不会自动清理，它们仍留在网站根目录。请检查站点根目录并删除所有 wp-config.php.*.bak 形式的文件。

如果无法确认这些文件是否曾被外部访问，建议同时轮换数据库密码与 AUTH 密钥（轮换 AUTH 密钥会使所有已登录会话失效）。