WordPressnginxで公開したくないファイルが意図せず公開される件wordpressはそれ自体が公開ディレクトリに置くこと前提になっているいわば諸刃の剣状態だ。実際このブログも途中で気がついたが.git/configになど打つとアクセス出来てしまっていた。その為、非公開とするためにnginxに設定を追記した。ansible環境構築apache使ってるからか表示が遅い。いうことでnginxに乗り換えることにした。phpをnginxに対応させるのとnginx自体の設定を書く。nginx、PHP、WordPressコメントするlightboxを導入して画像をポップアップ表示させるまず、前提としてデフォルトでwordpressが導入しているjQueryを捨てる。理由はバージョンが古いからと無駄に(モダンブラウザでは必要ないから)migrateなどを行っているため。手作業でブログの画像をlightbox化するのも手間なので自動でimgをlightbox化する。wordpressプラグインを使えばできるのかもしれない。車輪の再開発という誹りを受けても自前でやろうと思う。そのため当ブログはよほど面倒な動作を目的としない限りwordpressプラグインはなるべく導入しない方向で勧めたいと考えている。jquery、WordPressコメントするwordpressを無理やりSSL化した話テーマに埋まってるhttpの部分もあるため当ブログではwp-includes/functions.php上記ファイルに無理やりフィルターをかませてhttps化と同時にstatic系ファイルをs3のURLに書き換えている。具体的には下記(文書に埋まっているURLにも効果が及ぶためあえてスペースを入れて引っかからないようにしている。$html;}wp_loadedをフックして動的生成じゃない部分のURLをS3のURLに置換し、埋まっている残りのhttpをhttpsに置換している。賢いやり方もありそうだけど面倒なのでこれはこれでありかもしれない。aws、PHP、WordPressコメントするWordPressをインストールした後に真っ先に行ったこと内容に関しては掲題のとおり。WordPressをインストールして真っ先にinstall系のファイルを消した。理由はこれを悪用して不正なアクセスによりサイトを改ざんされるのを防ぐため。wp-admin/install-helper.phpまた、/wp-adminへのアクセス制限もかけた。awsで構築しelbを挟んでる関係で通常の書き方ではリモートIPを取ることが出来ない。env=allowed_access</Location>ただしこの方法、一つ問題があって悪意ある攻撃者がX-Forwarded-Forに我が家のIPを入れて送ってくると管理画面が表示できる。そもそも我が家のIPを知る方法がないだろうから問題ないと思われる。企業が公開しているサービスなんかだと企業のIPで試行して攻撃できると思うので過信は禁物。rails6で開発を始めるrails5.2とDockerとwebpackerとbootstrap4【設定編】docker-composeのサンプルrails5.2とDockerとwebpackerとbootstrap4【インストール編】そうだ。