[原创]WordPress子比主题站长必看：彻底关闭文章评论的正确姿势（附 Nginx 配置）

为什么关闭了评论，为什么还有人能评论？

先说一个几乎所有 WordPress 站长都踩过的坑：

后台「设置 → 讨论」里取消了”允许人们发表新文章的评论”，主题设置里的评论开关也关掉了，可文章下面还是冒出新评论，甚至一晚上进来几十条垃圾广告。

第一反应通常是”设置没生效”、”缓存问题”，或者怀疑自己漏了哪一步。但实际上，你没漏任何一步——问题出在 WordPress 的评论开关本来就是分层的，而你关掉的只是最上面那一层。

这篇文章把这件事讲透，并给出一套能真正堵死的完整方案：从数据库字段、四个提交入口，到前端展示，四层一起收口。

---

一、WordPress 的评论开关分三层

层级	在哪	实际影响	常见误解
全局默认	设置 → 讨论	只对新建的内容生效	以为改了它，全站就关了
每篇内容的字段	数据库 wp_posts.comment_status	真正决定能不能评论	根本不知道有这个字段
主题的显示开关	主题设置面板	只决定评论表单渲不渲染	以为关了就没人能提交

关键点有两个：

第一，全局设置不回溯。 你在”讨论”里取消勾选，影响的是”以后新建的文章”。已经发布的那几百篇文章，数据库字段依然是 open，一个都不会被改。

第二，主题开关只管显示，不管接收。 子比这类功能型主题，评论开关通常只是决定是否输出评论框的 HTML。它不会去改数据库字段，也不负责拦截提交请求。

于是就出现了那个诡异的状态：界面上看起来评论关了，系统其实还开着门。

---

二、那些”看起来关了”的做法，为什么都挡不住

1. 后台取消勾选

只影响新建内容，存量文章照旧 open。这是最常见也最容易被忽略的一点。

2. 主题设置里关闭

只控制显示。更要命的是，像子比这种自带 Ajax 评论通道的主题，它的提交通道往往是自己写的，压根不看 comment_status 这个字段——你把它设成 closed，标准入口会拒绝，主题自己的通道照样写入。

3. 用 CSS 隐藏评论框

掩耳盗铃。表单看不见，不等于收不到。

4. 在 functions.php 里移除评论表单

比 CSS 强一些，但依然只动了前端。而且如果只写了 comments_open 过滤，很多主题的自定义提交函数会绕过它。

为什么这些都挡不住？

因为垃圾评论根本不需要你的表单。

发垃圾的通常是脚本，它们不渲染页面、不看你的界面，直接：

• POST 到 wp-comments-post.php（最经典，也是被扫得最凶的入口）
• 调用 REST 接口 POST /wp-json/wp/v2/comments
• 走 XML-RPC 的 wp.newComment
• 或者走主题自己的 admin-ajax.php 通道

只要目标文章的 comment_status 是 open，WordPress 就照单全收。你的表单藏得再深，对它毫无影响。

---

三、真正的”彻底关闭”，要同时做到四件事

只做一件，一定会有漏网的。完整的收口需要四层：

第一层：数据库字段 把存量和增量内容的 comment_status、ping_status 全部置为 closed，并且让新建内容默认也是关闭。

第二层：四个提交入口全封

• wp-comments-post.php（含 trackback）
• REST API：/wp-json/wp/v2/comments
• XML-RPC：wp.newComment、pingback.ping 等方法
• admin-ajax.php：名称含 comment / pingback / trackback 的请求（专治主题自定义通道）

第三层：数据库兜底 万一有请求绕过前两层真的写进库了，在写入瞬间删除，并强制不批准。这一层是最后的安全网，用来兜住那些不走标准流程的主题通道。

第四层：前台展示清零 评论模板换成空文件、历史评论不输出、评论数归零、评论 feed 关闭；再叠一层 CSS + JS（带 MutationObserver）兜底清除动态注入的评论区。

这四层缺一层，就还会有人能评论。

---

四、实操：三步搞定

第 1 步：装插件并启用

后台「插件 → 安装插件 → 上传插件」，上传插件包并启用。启用后左侧「设置」下会出现「评论总开关」。

第 2 步：执行一次数据库巡检

进「设置 → 评论总开关」，点「立即巡检：把所有内容的评论状态重置为关闭」。

页面会告诉你更新了多少条。目标是把状态面板里的”评论状态仍为开启的内容数”变成 0。

如果显示”共 0 篇被重置”，说明数据库里本来就已经全是 closed 了——这本身就是一个诊断结论：你之前的设置确实生效到数据库了，评论还能进来，是因为提交通道根本不检查这个字段，属于主题自定义通道绕过。插件的第二、三层正是为此准备的。

第 3 步：清缓存（这步不做，前端可能还显示旧表单）

# 主题/缓存插件后台点一次清空缓存
sudo service php8.2-fpm reload          # 刷 OPcache
sudo nginx -t && sudo systemctl reload nginx

---

五、Nginx 层加固（可选，但推荐）

在站点 server {} 块里加三条，让请求在到达 PHP 之前就被拒绝：

location = /wp-comments-post.php {
    return 403;
}
location ~ ^/wp-json/wp/v2/comments {
    return 403;
}
location = /wp-trackback.php {
    return 403;
}

改完执行 nginx -t && systemctl reload nginx。

这是双保险：即使插件被停用、被误删，入口依然是死的。

---

六、验证清单（装完必须跑一遍）

#	验证动作	期望结果
1	curl -I https://你的域名/wp-comments-post.php	403
2	curl -I "https://你的域名/wp-json/wp/v2/comments?post=1"	403
3	文章页右键查看源代码，搜索 wp-comments-post.php	0 个结果
4	后台左侧菜单	无「评论」入口
5	SELECT COUNT(*) FROM wp_posts WHERE comment_status='open';	0
6	过一天再看 SELECT COUNT(*) FROM wp_comments;	数字不再增长

第 3 条记得先清缓存，否则看到的是旧页面。

---

七、不想装插件？精简代码版

把下面这段加到主题的 functions.php 末尾，可以实现前两层的收口：

// 1. 全站关闭评论与引用通告
add_filter( 'comments_open', '__return_false', PHP_INT_MAX );
add_filter( 'pings_open',    '__return_false', PHP_INT_MAX );

// 2. 封死 wp-comments-post.php
add_action( 'pre_comment_on_post', function () {
    wp_die( '评论已关闭', 'Forbidden', array( 'response' => 403 ) );
}, -99999 );

// 3. 拦截所有 wp_new_comment() 路径
add_filter( 'preprocess_comment', function () {
    return new WP_Error( 'closed', '评论已关闭', 403 );
}, -99999 );

// 4. 移除 REST 评论路由
add_filter( 'rest_endpoints', function ( $endpoints ) {
    unset( $endpoints['/wp/v2/comments'] );
    unset( $endpoints['/wp/v2/comments/(?P<id>[d]+)'] );
    return $endpoints;
}, PHP_INT_MAX );

再执行一次 SQL，把存量内容的字段改掉：

UPDATE wp_posts SET comment_status = 'closed', ping_status = 'closed';

注意：精简版只覆盖了前两层。如果你的主题（比如子比）有自己的 Ajax 提交通道，它仍然可能绕过——这时需要第三层（写库后立即删除）和第四层（前端清零），也就是插件在做的事。

---

八、怎么判断评论到底是从哪进来的

如果按上面做完，评论还在涨，就说明它根本没走 WordPress 的评论系统。排查顺序：

1. 看拦截日志：插件设置页会记录每次拦截的来源、ajax action 名、文章 ID、作者、IP、UA。有记录说明拦住了；从 action 名能直接看出主题走的是什么通道。
2. 看趋势：近 7 天评论新增曲线，如果停在插件启用那天，说明堵住了。
3. 看可疑数据表：有些主题/论坛插件用自有表存回复，表名里带 comment、reply、forum、discuss 等。执行 SHOW TABLES LIKE '%comment%'; 看一下。

插件设置页底部的「诊断信息」面板把这几项一次拉全，还能一键复制成文本。

---

九、常见问题

Q：装完前台还能看到评论框？ 九成是缓存。按第四节第 3 步清一遍：主题缓存、OPcache、Nginx 缓存、CDN。

Q：历史评论怎么处理？ 插件只是不显示，数据还在。要物理清空的话先备份，再执行：

DELETE FROM wp_comments WHERE comment_type NOT IN ('order_note','action_log');
DELETE FROM wp_commentmeta WHERE comment_id NOT IN (SELECT comment_id FROM wp_comments);

Q：装了 WooCommerce 会不会误伤订单备注？ 不会。订单备注这类系统内部评论的类型是 order_note，在保护名单内。

Q：想临时恢复评论怎么办？ 停用插件 → 执行 UPDATE wp_posts SET comment_status='open' WHERE post_type IN ('post','page'); → 删掉 Nginx 那三条并 reload → 清缓存。

---

写在最后

“关了评论还能评论”这件事，本质上不是设置问题，而是显示层、数据层、入口层三者不一致造成的错觉。

想真正关死，记住一个原则：不要只在界面上关，要在数据里关、在入口上堵、在写入时兜底。三层少一层，门就还开着。

---

本文基于实际排查过程整理，方案已在 Ubuntu 22.04 + Nginx 1.26 + PHP 8.2 + MySQL 5.7 + 子比主题 9.0 环境验证。

还在优化测试中