Table of Contents
从远程来源安全导入图片到 WordPress
2026 年 9 月 1 日更正：本文最初写于 2011 年，当时推荐了一个修改过的
Auto_Save_Image 2.2.2压缩包，用于 WordPress 2.9.2/3.0。旧下载来自第三方文件站，今天无法从一手资料核验其作者、源码、完整性或与 WordPress.org 条目的关系，因此链接已移除，也不应再安装。下面保留历史背景，但把操作建议改为当前、合法且安全的媒体导入流程。
2011 年那段记录现在意味着什么
旧文想解决的问题仍然存在：外链图片可能移动、删除或阻止嵌入，逐张保存又很费时间。但“看见有价值的文章就转载”“批量抓图、去掉外链、统一加水印”不是可靠的现代工作流。保存远程图片会产生新的副本；删除出处或加上自己的水印，也不会创造使用许可，反而可能误导读者。
WordPress.org 上与旧名称对应的 auto-save-image 条目目前标为已关闭，页面说明其自 2018 年 7 月 12 日起因“Unused”而停止下载。另一个名字相似的 auto-save-remote-images 是不同条目，目录显示它最后更新于 2012 年、仅测试到 WordPress 3.4.2。现有证据不足以证明旧文的第三方 ZIP 就是其中任何一个，也没有理由把它们当作当前方案。
第一关不是技术，而是使用权
公开可访问不等于可以复制。开始前应确认图片属于以下至少一种情况：自己创作；权利人书面授权；清晰、可保存证据的许可覆盖你的用途；或者已由熟悉当地法律的人确认存在适用例外。使用范围还要覆盖复制、公开展示、修改、水印、商业使用和再分发等实际动作。
记录原始页面、直接文件 URL、作者或权利人、许可名称与版本、署名要求、取得日期、许可页面快照或书面授权。来源 URL 只是溯源线索，不等于许可。若权利、人物肖像、商标、隐私或地域限制不清楚，就链接到原页面或寻找有明确许可的替代图片，不要下载后再说。
热链也不是持久方案：访客仍从来源站请求文件，会消耗对方带宽，并受对方删除、改名、防盗链和条款变化影响。不要绕过访问控制、登录、付费墙、robots 规则或来源站的防盗链措施。
当前可维护的安全流程
1. 先做来源清单和授权审查
建立待处理清单，一行一张图片，包含页面来源、文件来源、拟使用文章、权利依据、所需署名和负责人。去重，并排除头像、追踪像素、广告、第三方评论图片及用途不明的素材。导入器只接收已通过审查的 URL，而不是扫描整站后默认抓取。
2. 在暂存环境备份并小批试跑
同时备份数据库和文件；只备份数据库不能恢复上传目录。确认备份可以还原，再在与生产配置接近的暂存站用少量样本测试。记录导入前后的附件 ID、文章 ID、源 URL、结果和错误。第一批人工检查无误后再逐步扩大，且应能按批次回滚。
3. 把远程请求当作不可信输入
优先使用维护中的 WordPress 核心媒体与 HTTP API，而不是来历不明的 ZIP 或自己拼接的任意下载器。media_sideload_image() 会把远程图片作为附件处理，并保存 _source_url；任意 URL 请求应走会验证初始地址和重定向的安全 HTTP 路径。
仍需设置比系统默认更窄的边界：只允许预先批准的 HTTPS 主机；拒绝 URL 中的用户名和密码；限制重定向、超时、并发数、单文件字节数、总批次字节数与像素尺寸；每次重定向都重新核验目标。阻止环回、私有、链路本地、组播和云元数据地址，避免服务器端请求伪造（SSRF）。不要为了让内网 URL “能用”而关闭这些保护。
4. 下载后验证真实内容
不要相信扩展名或服务器声明的 Content-Type。临时文件必须通过 WordPress 允许类型和真实 MIME/扩展名一致性检查，并由图像库成功解码；HTML 错误页、脚本、空文件、伪装文件和不需要的格式全部拒绝。对超大像素图和压缩炸弹设置像素/内存门槛，并在保存前执行站点已有的恶意文件扫描。
远程导入还应采用独立的业务上限，不能只依赖 wp_max_upload_size() 所反映的 PHP 上传上限。即使响应头声称文件很小，也要在流式接收过程中强制停止超限下载，失败时删除临时文件。
5. 生成可理解的文件和媒体元数据
使用 WordPress 的文件名清理与唯一化机制；不要保留路径片段、查询参数、密钥或随机长串作为公开文件名。标题要便于媒体库检索，说明和图注应保留作者、来源与许可要求。替代文本描述图片在当前上下文中的用途；纯装饰图片应使用空替代文本，而不是堆关键词或重复文件名。
保留原始 URL、原页面、导入时间、许可依据和必要的内容哈希。_source_url 很有用，但不能替代许可记录。只有授权允许时才裁剪、压缩或加水印；不要用自己的标记掩盖原作者身份。
6. 人工复核、替换和回滚
发布前检查缩略图、正文尺寸、移动端显示、替代文本、图注、署名、重复附件和文章链接。只替换成功导入且审核通过的图片 URL；某张失败时不要留下半完成文章，也不要自动删除正文中的外部出处链接。保留每批成功、跳过和失败清单，确认备份与回滚窗口后才清理临时文件。
发布后提供更正或下架渠道。权利状态变化、授权撤回或源文件被替换时，应能从记录定位所有使用位置并重新审查。
少量图片与批量迁移应选不同路线
- 少量、人工编辑：确认许可后，在图片区块使用“从 URL 插入”，再选择“上传到媒体库”。检查生成的附件、替代文本、图注和署名。这比安装旧插件更容易审计。
- 受控迁移：选用仍在维护、来源可信且经过安全审查的导入工具，或让开发者围绕 WordPress 核心媒体/安全 HTTP API 实现受限任务。先在暂存环境运行清单中的少量 URL，再分批推进。
- 无法确认权利或边界：不抓取。保留原文链接、请求授权，或换成自己的图片及许可清楚的素材。
本文故意不提供通用批量抓取代码。安全性取决于主机白名单、DNS 与重定向复核、下载限额、内容验证、权限控制、日志和回滚；脱离这些边界的一段“能下载”的代码不适合作为生产方案。
Go / No-Go 发布清单
| 检查项 | Go | No-Go |
|---|---|---|
| 权利 | 已保存覆盖当前用途的许可或授权 | 只有“网上公开”“注明出处”或不确定的合理使用判断 |
| 来源 | 页面、文件、权利人和许可记录齐全 | 短链、镜像、匿名网盘或需要绕过控制 |
| 网络 | HTTPS 主机白名单；每次重定向复核；私网/元数据地址被拒绝 | 任意 URL、内网例外、关闭 SSRF 验证 |
| 内容 | 实际 MIME、扩展名和解码结果一致 | 只看后缀或响应头，或允许脚本/HTML/SVG 等非预期内容 |
| 限额 | 单文件、总批次、像素、时间和并发均有限制 | 无上限批量运行，或只依赖 PHP 上传上限 |
| 媒体记录 | 文件名清晰且唯一；替代文本、署名、来源和许可可追溯 | 随机文件名、无替代文本、移除出处或擅自加水印 |
| 运维 | 暂存小批通过；数据库和文件可恢复；有日志和回滚 | 直接在生产全量运行，或没有可验证备份 |
| 结论 | 所有必要项目为 Go 后才发布 | 任一必要项目为 No-Go 就暂停并修正 |
当前一手参考资料
- WordPress.org：auto-save-image 插件目录状态
- WordPress.org：Auto Save Remote Image（不同的旧条目）
- WordPress 图片区块：从 URL 导入、许可与替代文本
- WordPress Developer：media_sideload_image()
- WordPress Developer：wp_safe_remote_request() 与 SSRF 防护
- WordPress Developer：wp_check_filetype_and_ext()
- WordPress Developer：sanitize_file_name()
- WordPress Developer：wp_max_upload_size()
- WordPress 高级管理手册：备份数据库与文件
- 美国版权局：Photography & Copyright
这些页面说明当前 WordPress 行为和一项美国版权基础原则，但不是针对你的司法管辖区的法律意见；重要或有争议的使用应咨询合格专业人士。