WordPress 在虚拟主机上的安全设置清单

在虚拟主机上安装 WordPress，安全防护需要从多个层面入手。虚拟主机是共享环境，你无法控制服务器底层，所以重点放在 应用层 + 账户层 + 访问层。

一、安装前：下载源与文件安全

二、数据库安全

1. 安装时让 WordPress 自动创建数据库，或手动在主机面板创建：
   - 数据库名、用户名不要用默认的 "wordpress" / "wp"，
     用随机字符串，如 myx7k2_db
   - 数据库密码：至少 16 位，字母+数字+特殊字符
   - 数据库前缀：把默认的 wp_ 改成随机前缀，如 xk7m_
     （这一步在安装界面就能设，装完再改很麻烦）

为什么改前缀？ SQL 注入攻击常假设表名以 wp_ 开头，改了前缀能挡掉大量自动化攻击脚本。

三、管理员账户安全（最关键）

这是 WordPress 被黑的第一入口，务必重视：

⚠️ 常见错误：很多人安装时用户名就填 admin，这是被暴力破解的第一目标。虚拟主机如果用一键安装，装完第一件事就是新建一个随机用户名的管理员，然后删掉 admin 账号。

四、文件与目录权限

虚拟主机通常通过 FTP / 主机面板文件管理器来设置：

文件权限：      644  (所有者读写，其他人只读)
目录权限：      755  (所有者读写执行，其他人读执行)
wp-config.php：  600 或 440  (最敏感的文件，只允许所有者读)

关键操作：

1. 移动密钥文件：安装完成后，把 wp-config.php 往上移一级目录（WordPress 会自动向上查找）。这样即使 Web 目录被列目录，配置文件也不在可访问范围内。虚拟主机如果不允许移到上级，至少把权限设为 600。

2. 保护 wp-config.php：在 .htaccess 中加：

   <Files wp-config.php>
       Order Allow,Deny
       Deny from all
   </Files>
   

3. 禁止目录浏览：在 .htaccess 中加：

   Options -Indexes
   

五、登录保护（防暴力破解）

5.1 限制登录尝试次数

安装插件 Limit Login Attempts Reloaded（免费）：

• 5 次失败后锁定 IP 20 分钟
• 这是最基本也是最有效的防暴力破解措施

5.2 隐藏登录页面

默认登录地址是 /wp-admin/ 和 /wp-login.php，全天下都知道。安装插件 WPS Hide Login：

• 把登录地址改成自定义路径，如 /my-secret-entry
• 原来地址返回 404

5.3 .htaccess 保护 wp-admin

如果只有你一个人管理，可以在 wp-admin/.htaccess 中限制 IP：

Order Deny,Allow
Deny from all
Allow from 你的固定IP

注意：如果你的 IP 是动态的，这个方法不方便，慎用。

六、通信安全（HTTPS）

没有 HTTPS，管理员密码在登录时明文传输，同一服务器上其他用户可能抓包看到。

七、WordPress 核心与插件安全

八、wp-config.php 强化（加几行代码）

打开 wp-config.php，在 /* That's all, stop editing! */ 这行之前加入：

// 1. 禁止后台文件编辑（防入侵后改文件）
define('DISALLOW_FILE_EDIT', true);

// 2. 禁止不必要的文件修改（更严格，可选）
define('DISALLOW_FILE_MODS', true);  // 注意：这会同时禁用插件/主题的在线安装和更新，按需取舍

// 3. 强制后台走 SSL（如果主机面板没做强制跳转）
define('FORCE_SSL_ADMIN', true);

// 4. 限制修订版本数量（减少数据库膨胀，间接减少攻击面）
define('WP_POST_REVISIONS', 5);

// 5. 自动清空回收站
define('EMPTY_TRASH_DAYS', 7);

// 6. 阻止不必要的外部请求（可选，较严格）
define('WP_HTTP_BLOCK_EXTERNAL', true);
define('WP_ACCESSIBLE_HOSTS', 'api.wordpress.org,downloads.wordpress.org');

九、虚拟主机环境特有注意

虚拟主机是 共享主机，有一些特殊限制和注意点：

1. php.ini / PHP 版本：在主机面板选 PHP 7.4 或 8.x（不要用 5.6，已停止安全更新）。主机面板一般可以切换 PHP 版本。

2. 禁用危险 PHP 函数：如果面板允许自定义 php.ini，禁用以下函数：

   disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source
   

3. 隔离风险：共享主机上其他用户被黑理论上可能波及你（虽然概率低）。定期备份是你最后的保险。

4. 备份：利用主机面板自带的备份功能，设置定期备份到主机商的备份空间。同时用 WordPress 插件 UpdraftPlus 备份到云存储（如阿里云 OSS / 腾讯 COS，免费额度够用）。

十、安全扫描与监控

Wordfence 免费版已经覆盖大部分需求，建议安装。它的 Web Application Firewall 在虚拟主机上以插件模式运行（不是 .htaccess 模式），防护能力稍弱于独立服务器但仍有价值。

优先级排序（如果时间有限，按这个顺序做）

🔴 必做（不做大概率会被黑）：
   1. 管理员用户名不用 admin，密码 20 位以上
   2. 数据库前缀改掉默认 wp_
   3. 开启 HTTPS
   4. 安装 Limit Login Attempts 插件
   5. 保持 WordPress + 插件更新

🟡 强烈建议：
   6. DISALLOW_FILE_EDIT 设为 true
   7. 安装 Wordfence 免费版
   8. 文件权限 644 / 目录 755 / wp-config.php 600
   9. 定期备份（主机面板 + UpdraftPlus 双保险）

🟢 锦上添花：
   10. 隐藏登录页面（WPS Hide Login）
   11. .htaccess 保护 wp-config.php + 禁目录浏览
   12. 禁用危险 PHP 函数