テーマファイルへの直接アクセスを制限する価値はありますか？

テーマで次のスニペットに時々出くわしました：

if ( ! defined('ABSPATH')) exit('restricted access');

テーマ内のいくつかの（すべての？）PHPファイルの先頭にあり、悪意のあるソースによるファイルへの直接アクセスを防止することになっています。

これはTwenty TenやElevenには含まれておらず、WordPressの公式ドキュメントで推奨されていることは一度もありません。私にとっては良い考えのように思えますが、私はセキュリティについて判断するのに十分な知識も持っておらず、グーグルで多くを見つけることができません。

これはカスタムテーマに含めるべきものですか？もしそうなら、それはすべてのPHPファイルにあるべきですか、それともいくつかですか？

通常、それは必要ありません。しかし…少なくとも1つのエッジケースがあります：

• テーマファイルがテンプレートパーツの場合、
• そして、呼び出しコンテキスト（親ファイル）からのグローバル変数を使用しています。
• そして register_globalsはon、
• そしてそれだけで任意のセキュリティチェックなしでこれらの変数を使用しています...

…攻撃者はこのファイルを呼び出し、不足している変数をGETまたはで設定しPOST、テーマファイルにそれらを出力させることができます。そして、そこにあるセキュリティ上の問題が。

ですから…最良のオプションは、あなたの例のようなコンテキストチェックではなく、良いコードです。グローバル変数を避け、印刷する前にその内容をチェックしてください。

場合によっては、誰かが私のコードを使用し、セキュリティを考慮せずにコードを変更すると思うときに、コンテキストチェックを追加します。痛くない。