别因 AI 暴露 WordPress 登录密码，Application Passwords 才是最优的登录方式

什么是应用程序密码

Application Passwords（应用程序密码）是 WordPress官方内置的「专用授权密码」，只给第三方应用、API、AI 工具使用，不影响现有的通过 Cookie 登录后台，也不替代原有密码。

换个浅显的话说，主密码是 “大门钥匙”，应用程序密码就是给工具专用的门禁卡。一个程序一张卡，用完可注销，绝不影响主账号安全。

Application Passwords 长度固定为 24 位，仅包含大小写字母 + 数字，无特殊字符，为了方便阅读，显示时会分段（如 abcd EFGH 1234 ijkl MNOP 6789），带不带空格都能用，系统会自动忽略空格。

每个应用密码拥有独立 UUID，方便管理与追踪，存储在用户 meta 中，记录创建时间、最后使用时间、使用 IP，

只能用于程序 / API 请求，不能在后台登录页面使用，为保证传输安全，默认仅在 HTTPS 站点启用。

如何创建与使用应用程序密码

创建应用程序密码非常简单，进入 WordPress 后台，然后点击「用户」然后进入「个人资料」页面，拉到页面底部，找到 应用程序密码（Application Passwords），输入应用名称，一般填用于工具的名称（如：OpenClaw、WorkBuddy、小程序），点击「添加新应用程序密码」：

生成后立即复制，只显示一次，关闭后无法再次查看。

创建好之后，就可以直接用拿来用了，最简单就是在 REST API 中的调用：

curl --user "你的用户名:应用密码" https://你的域名/wp-json/wp/v2/posts

换个复杂点的例子，我前面使用 WorkBuddy 实现「自动设置 WordPress 最新文章 SEO 关键字和描述进行更新」技能就用到。

使用的时候除了博客地址和用户名之外，就还需要把应用程序密码一起发送给 WorkBuddy：

WorkBuddy 使用应用程序密码成功连接上 WordPress REST API，获取最新 10 篇文章，精准检测到博客的自定义 SEO 字段，为每篇文章生成符合规范的 SEO 关键词和描述：

简单总结

到了 2026 年，AI 深度接入 WordPress，自动化发布、生成页面、同步内容越来越普遍，应用程序密码几乎成了刚需，可以说成为了 AI 工具的安全底座。

AI 写作、AI 建站、AI 优化、自动化发布…… 都需要登录。但主密码一旦泄露，全站沦陷，从这个角度说应用密码 = 安全隔离层。

应用程序密码在 WordPress 后台会有用途标识，被使用的时候会记录：最后使用时间和使用 IP，这样如果发现是非法应用，可以立刻删除，权限立刻失效，符合最小权限原则。

最后不用装 OAuth、JWT、第三方登录插件，直接就能用，如果你还在给 AI 工具、第三方应用主账号密码，从今天起，换成 Application Passwords，这才是 WordPress + AI 的正确打开方式。

想了解更多 WordPress + AI 实战技巧？欢迎加入我的交流群（加微信 chenduopapa，然后拉你）!