讲清 REST API 的用途、默认暴露的字段与收敛方法。下面按“先判断、再动手、最后验证”的顺序展开，每一步都给出可核对的检查点。

涉及 WordPress REST、wp-json、API安全 的关键动作都写成了具体命令或配置项，可以照着走，也可以当检查表用。

用途定位

对外提供内容数据、对接小程序与 App、前后端分离的内容源，三种场景配置不同。

默认暴露

wp-json 会列出用户信息（含登录名），先关掉 users 端点的公开列表，这是最常见的信息泄露。

字段收敛

用注册接口时只暴露需要的字段，敏感 meta 一律不出 API。

鉴权

内部调用用应用密码（Application Passwords），对外只读接口配合限频与缓存。

监控

API 请求量单独统计，异常增长说明接口被扫或被滥用。

速查表

常见问题

Q：按文中写法改完，怎么确认真的生效？
不要只看配置文件，用对应的验证命令或从外部视角复测一次；改完先小流量观察一段，再全量推进，出问题能马上回退。

Q：按文中的步骤做完，还需要注意什么？
把处理过程和最终生效的参数记下来。同类问题再出现时直接对照记录，比重查一遍快得多。

Q：业务规模小，也要按这套标准来吗？
不需要一次到位。先把影响最大的两项做到位，剩余的随着业务增长逐步补齐，比一开始就追求完美更容易落地。

小结

回到这篇的 5 个环节：用途定位、默认暴露、字段收敛、鉴权、监控。把这几个动作写进检查表，下次遇到同类问题按顺序过一遍，比凭经验跳步骤稳。

相关阅读：WordPress数据表结构速览、WordPress邮件发送：SMTP配置、用户注册与防滥用。

延伸阅读：WordPress数据表结构速览、WP-CLI常用命令速查、WordPress转Headless的取舍。