一次只读巡检看到的东西：版本指纹、用户枚举、XML-RPC 放大、RSS 全文、缺四个安全头，还有一条没带 Secure 的 session cookie。附 Nginx 与 functions.php 的关闭配置。
2026-10-19