越来越多站长开始用 AI 工具自动生成和发布文章。接入这类工具时，对方总会要你提供三样东西：站点地址、用户名、密码。
很多人直接把后台登录密码给了出去——这是非常危险的做法。本文介绍 WordPress 专门为这类场景准备的正确答案：应用程序密码（Application Passwords）。
一、应用程序密码和登录密码的区别
| 对比项 | 登录密码 | 应用程序密码 |
|---|---|---|
| 用途 | 登录 wp-admin 后台 | 给外部程序/API 授权 |
| 形态 | 你自己设置的一串字符 | 系统随机生成的 24 位字符（6 组 × 4 位） |
| 能否登录后台 | 能 | 不能 |
| 能否单独撤销 | 不能 | 能，一键删除，其他应用不受影响 |
| 泄露后果 | 整个网站沦陷 | 只影响 API 权限，删掉重发即可 |
| 使用记录 | 无 | 每个密码可查看最后使用时间和 IP |
一句话总结：登录密码是家门钥匙，应用程序密码是给保洁的临时门卡——能进门干活，随时可以注销，而且你还能查它什么时候进过门。
二、怎么生成应用程序密码
- 登录 WordPress 后台，进入用户 → 个人资料（wp-admin/profile.php）
- 往下翻到「应用程序密码」区块
- 在「新的应用程序密码名称」里填个名字（比如「AI发文助手」），点「添加新的应用程序密码」
- 系统会生成一串类似
xxxx xxxx xxxx xxxx xxxx xxxx的密码，这是唯一一次完整显示，立刻复制保存
⚠️ 注意：生成该功能需要 WordPress 5.6 及以上版本；如果站点没有该选项，说明版本太旧，请先升级。
⚠️ 另外注意：如果你的站点没开启 HTTPS，应用程序密码默认是不可用的。先给站点配好 SSL 证书再说。
三、给第三方工具怎么填
以「让 AI 工具自动发文」为例，正确的配置是：
- 站点地址：
https://你的域名/wp-json/（有些工具只要填https://你的域名，看工具说明） - 用户名：你的 WordPress 登录用户名
- 密码：刚生成的应用程序密码（带空格、不带空格一般都可以）
配套要求：这个用户必须是有发文权限的角色（管理员、编辑、作者），订阅者/投稿者是发不了的。
四、验证密码是否生效（30 秒）
不用等工具慢慢调试，一条命令直接验证：
curl -u '你的用户名:xxxx xxxx xxxx xxxx xxxx xxxx' \
https://你的域名/wp-json/wp/v2/users/me- 返回一段包含你用户名的 JSON → 成功，工具那边一定能用
- 返回 401 → 密码或用户名不对，重新生成
- 返回 500 + 「指定的密码不正确」 → 注意！这不一定是密码问题，可能是插件冲突，参考本站文章《WordPress 一直报”密码不正确”？不一定是密码错了》
五、日常管理的三个好习惯
- 一用一密：每个外部工具单独生成一个密码。工具不用了，删掉它对应的密码就行，互不影响。
- 定期查看使用记录：应用程序密码列表里能看到每个密码的「最后使用时间」。发现某个已经停用的工具密码最近还在被调用？马上删除并检查文章列表有没有异常发布。
- 密码不出现在聊天记录里：需要把密码给合作方时，尽量用加密方式传递。一旦在明文聊天中出现过，用完就重新生成一个。
六、已经把登录密码给出去了怎么办
- 立刻修改登录密码（用户 → 个人资料 → 账户管理 → 设置新密码）
- 登出所有会话（同页面有「退出其他会话」按钮）
- 以后给工具统一改用应用程序密码
应用程序密码是 WordPress 里被严重低估的功能——它让「给第三方授权」从交出家门钥匙，变成发一张随时可回收的门卡。如果你正在接入 AI 发文工具，从它开始准没错。
原创文章，作者：小微财服云，如若转载，请注明出处：https://www.779it.com/346.html
