值得限制主题文件的直接访问吗？

我不时遇到以下主题片段：

if ( ! defined('ABSPATH')) exit('restricted access');

它只是主题中某些（全部？）PHP文件的开头，它应防止恶意来源直接访问该文件。

我发现二十一或十一未包含此功能，而且我从未见过在官方WordPress文档中推荐使用此功能。对我来说，这似乎是个好主意，但我对安全性的了解还不足以判断它，因此在Google方面找不到很多东西。

我的自定义主题中应该有这东西吗？如果是这样，应该在所有PHP文件中还是仅在其中一些文件中？

通常，您不需要它。但是……至少有一种边缘情况：

• 如果主题文件是模板部分，
• 并且它使用从呼叫上下文（父文件）的全局变量，
• 而 register_globals是on，
• 并且它是在运用这些变量没有任何安全检查...

…攻击者可以调用此文件，使用GET或设置缺少的变量，POST并使主题文件将其打印出来。然后是一个安全问题。

因此……最好的选择不是像示例中那样进行上下文检查，而是好的代码：避免全局变量，在打印出来之前先检查其内容。

在某些情况下，当我认为其他人会使用我的代码并在不考虑安全性的情况下对其进行更改时，我会添加上下文检查。没伤