宝塔 + WordPress 安全加固完整方案 宝塔 + WordPress 安全加固完整方案从「面板 → 系统 → 网站/PHP → WordPress → 数据库 → 备份 → 监控 → 应急」8 层纵深防御。优先级：必须 > 推荐 > 可选。① 宝塔面板自身（必须）面板被破 = 整台服务器沦陷，是第一道防线。面板设置 → 修改端口：默认 8888 改高位非常用端口（如 35821）。面板设置 → 安全入口：设复杂随机路径，如 /bt_8f3k（默认 /btpanel 立即失效）。面板设置 → 绑定授权 IP：只放行你自己的固定 IP（无固定 IP 则跳过，别锁死自己）。面板设置 → 开启面板 SSL：用 https 访问面板。面板设置 → 两步验证(2FA)：手机令牌，强烈建议开。面板设置 → 修改管理员用户名 + 强密码（16 位以上，含大小写数字符号）。软件商店 → phpMyAdmin：不用时关闭，或加「基础认证」密码；不要长期公开。② 服务器系统层（推荐）安全（左侧）→ 系统防火墙：只放行 22 / 80 / 443 / 面板端口，其余拒绝。安全 → SSH 管理：改默认 22 端口；禁用 root 直接登录；改用密钥登录。软件商店 → 安装 fail2ban（或宝塔「系统防火墙」的防暴力破解）：自动封禁爆破 IP。定期执行系统补丁更新（yum update / apt update）。③ 网站 / PHP 层（必须，最关键，锁死破坏面）网站 → 设置 → 防跨站攻击 → ✅ 开启：本质是给 PHP 设 open_basedir，黑客拿到 shell 也出不了网站目录。这一项最重要。软件商店 → PHP 升级到 8.1 / 8.2（旧版漏洞多）。PHP → 设置 → 禁用函数：加入以下函数（WordPress 正常运行不需要）：exec, system, passthru, proc_open, popen, shell_exec, pcntl_exec, proc_get_status, proc_close, eval网站 → 设置 → 伪静态：追加「禁止 uploads 执行 PHP」规则（见下方配置区）。文件管理：目录 755、文件 644；wp-config.php 设为 600。网站 → SSL → Let's Encrypt 一键申请，开启「强制 HTTPS」。④ WordPress 应用层（必须）清理陌生管理员：后台「用户」确认无陌生账号；改掉默认 admin 用户名。装 Limit Login Attempts Reloaded：限制登录失败次数，挡暴破。在 wp-config.php 加两行，关闭后台主题/插件在线编辑（防黑客改主题挂马）：define( 'DISALLOW_FILE_EDIT', true ); define( 'DISALLOW_FILE_MODS', false ); // 想彻底禁止自动改文件改 true删掉 cholame222 副本、所有停用主题/插件（只留 active 的 cholame + 在用的插件）。更新 WP 核心 + 主题 + 插件到最新。装 Wordfence / Sucuri（免费版足够）：文件完整性监控 + 恶意流量拦截。不用就禁用 XML-RPC（黑客暴破常用）：用安全插件关，或 nginx 规则 deny 掉 xmlrpc.php。⑤ 数据库安全（推荐）强口令：wp-config.php 里的 DB_PASSWORD 用 16 位以上随机串。表前缀：新装站用非常规前缀（如 kr_ 而非 wp_）；已建站可用插件修改（有风险，先备份）。phpMyAdmin 用独立强口令，平时关闭。⑥ 备份（必须，被黑后能秒回滚）计划任务 → 建两条：网站备份 + 数据库备份，每日自动跑。备份存储到云存储（阿里云 OSS / 腾讯云 COS / FTP 异地），不要只存本机。保留至少 7 天滚动备份。也可用 UpdraftPlus 插件自动备份到云端。⑦ 监控告警（可选）监控（左侧）→ 开启，定期看 CPU/带宽异常。安全插件的邮件/微信告警打开，文件变更/登录异常即通知你。⑧ 应急响应（必须，怀疑被黑时）立即改全站密码（WP 管理员 / 主机 / 数据库 / phpMyAdmin），并撤销所有用户会话。从干净备份恢复，或按「正确重装核心」：只重传 wp-admin/ + wp-includes/ + 根目录 php 文件，不要动 wp-content（那会冲掉你的主题/插件/上传）。活动主题若被破坏：把你本地这份干净的 cholame 整目录重新传上去覆盖。扫描 wp-content/uploads/ 下有无异常 .php（正常不该有）。查数据库 wp_options 是否被注入跳转 JS、wp_users 有无陌生管理员。附：可直接复制的配置Nginx 伪静态（禁止 uploads 执行 PHP + 封 xmlrpc）# 禁止 uploads / cache / languages 执行 PHP（防挂马后门） location ~* ^/wp-content/(uploads|cache|languages)/.*\.(php|php3|php4|php5|phtml|pht)$ { deny all; return 403; } # 禁用 XML-RPC（防暴破） location = /xmlrpc.php { deny all; return 403; }Apache（.htaccess 放 uploads 目录）<FilesMatch "\.(?i:php|php3|php4|php5|phtml|pht)$"> Require all denied </FilesMatch> php_flag engine offwp-config.php 加固片段define( 'DISALLOW_FILE_EDIT', true ); define( 'FORCE_SSL_ADMIN', true ); define( 'WP_AUTO_UPDATE_CORE', 'minor' );验证 uploads 禁执行是否生效在 wp-content/uploads/ 新建 test.php，写 <?php echo "PHP_STILL_RUNS"; ?>访问 https://你的域名/wp-content/uploads/test.php✅ 正确：显示 403 Forbidden（看不到 PHP_STILL_RUNS）❌ 错误：直接显示了 PHP_STILL_RUNS → 规则未生效，检查服务器类型测完删掉 test.php⚠️ 最高性价比三件事（10 分钟，挡掉 80% 自动攻击）面板改端口 + 安全入口 + 2FA网站开防跨站攻击 + PHP 禁用危险函数 + uploads 禁执行 PHP宝塔设每日自动备份到云⚠️ 重装核心的正确姿势（避免再次白屏）只重传 wp-admin/、wp-includes/ 和根目录几个 php 文件。不要重传 wp-content/——里面装的是你的主题、插件和上传的图片，重传会覆盖/冲掉它们，正是上次前台白屏的原因。

Nginx 下WordPress后台页面混乱 Nginx下wp后台css样式错乱的原因是nginx配置fastcgi_buffers问题引起．最近尝试着用WordPress做个网站，弄完丢到服务器上运行时，发现后台错乱，错位的问题，css样式无法加载． 以为是升级程序出现问题，但恢复备份替换新程序也无法解决，后台检查wordpress mysql数据库也无果，后来发现问题在于：http://luoweihua.cn/wp-admin/load-styles.php?c=1&dir=ltr&load=dashicons,admin-bar,wp-admin,buttons,wp-auth-check&ver=4.1.1 这个url的内容太大，大概有3百多KB,nginx的fcgi buff有限，导致无法正常加载css。解决办法：nginx.conf里server字段内设置，将fastcgi_buffers第二参数设置大于文件大小即可． server字段里面放置：fastcgi_buffers 512 64k;

load styles.php,WordPress加载load-scripts.php缓慢怎么办？ 昨天发现登录后台特别缓存，经过查看发现 WordPress 后台把要用到的 js 连接在一起，具体如下：http://luoweihua.cn/wp-admin/load-styles.php?c=1&dir=ltr&load%5B%5D=dashicons,admin-bar,common,forms,admin-menu,dashboard,list-tables,edit,revisions,media,themes,about,nav-menus,wp-pointer,widgets&load%5B%5D=,site-icon,l10n,buttons,wp-auth-check,wp-jquery-ui-dialog,wp-color-picker,media-views&ver=5.1.1 http://luoweihua.cn/wp-admin/load-scripts.php?c=1&load%5B%5D=jquery-core,jquery-migrate,utils,moxiejs,plupload&ver=5.1.1这两个文件一个载入了8秒，一个载入了10秒这个链接在一起的 JS 每次点击后台菜单或选项都会重新加载以便而不是从缓存中读取，所以才导致非常缓慢，解决的办法也很简单。在网站根目录的 wp-config.php 文件中，添加以下这句禁止 js 结合在一起代码即可：define('CONCATENATE_SCRIPTS', false);PS：如果登录 WordPress 后台很快而且结合在一起的 JS 也是从缓存中读取就没必要把他们分开。比如加载的 load-scripts.php?c=1 就是从缓存读取，就没必要让这些 JS 分开。

使用S3 Browser管理Cloudflare R2存储桶 本来我是要把导航页所有的文件搬到Github上并试图通过jsdelivr加速访问，但是我发现国内移动网络根本无法直连jsdelivr...在多次反馈网页无法打开之后，最后还是退一步选择迁移到R2上了。但是R2的网页端管理真的是做得一团糟，上传经常半路失败不说，一次还只能上传100个文件，更恶心的是文件夹无法删除，对于我来说是体验真的不好了。既然兼容AWS S3，那就用S3的方法去管理他。{cloud title="需要用到S3Browser这个软件，只有英文，但是不妨碍使用。" type="default" url="https://s3browser.com/download.aspx" password=""/}安装完成之后选择Add new account。Display Name任意填写即可，Account type选择S3 Compatible Storage，即兼容S3存储。REST Endpotin对应的是S3 API的值，但是不能整个填写进去。比如网页端显示的S3 API为：https://xxxxxxxxxxxxxxxxxxx.r2.cloudflarestorage.com/tamabox那这里要填写的是xxxxxxxxxxxxxxxxxxx.r2.cloudflarestorage.comAK和SK是创建桶的时候提供的，如果忘记了就没救了，重新弄个桶吧。Encrypt Access Keys with a password和Use secure transfer(SSL/TSL)选项保留默认即可。配置完之后要点开左下角的advanced settings。ignature version选择Signature V4.Addressing model选择Virtual hosted style.其他选项保留初始值不用动，点close再save changes`即可。这时候应该是能连接进R2内部了，就当作一个文件管理器操作就行了。如果只用来做图床的话可以用Pic-Go这个软件，操作方法也类似。

wordpress后台，提示Duplicate entry ‘0‘ for key ‘PRIMARY‘错误问题解决 wordpress后台，提示Duplicate entry ‘0‘ for key ‘PRIMARY‘错误问题解决前言最近在更换网站服务器，怕出问题还特地备份网站时手动备份了下数据库。可导入数据库时总提示失败，把数据库内容全删除了，重新导入了十几次都是同样效果。想着要出问题，果然登录后台后添加文章时提示失败，提示Duplicate entry '0' for key 'PRIMARY'错误，用户前台注册时也提示这个，无法添加文章和新用户无法注册了。问题大了啊，赶紧去百度，忙活了一晚上都无法解决，凌晨时终于问题解决，如释重负，上来给大家分享下这个问题解决方法。解决办法其实非常简单，说明下这个问题就是数据库插入数据时，要插入数据的主键数据(…)已经存在，不能再重复添加了。只要把数据库对应的表自增打钩就行了。打开你要操作的数据表，点击结构，修改，a_i打钩即可解决问题。有些小白站长可能不知道修改哪条数据表，我的是修改的my_tools数据表，其实全部的数据表都给设置下自增，就是都打钩就行，不然无法添加新数据。

WordPress通过短代码插入bilibili视频 前言Bilibili 是国内知名的视频分享平台，上面有很多精良而又有趣的视频。一些人喜欢 (比如我) 把 B 站视频通过 iframe 插入网页上，但代码大长 (约 230 个字符)。于是为了方便大家，我堤供一个在 WordPress 通过短代码插入 bilibili 视频的教程。教程一、打开 WordPress 根目录下 wp-content/themes/你正在使用的主题/functions.php 文件或者你在仪表盘的主题文件编辑器中打开 functions.php 文件二、复制下面的代码到 functions.php 文件的最后处// 添加插入bilibili视频短代码 function vbilibili_shortcode( $atts, $content = null ) { // 解析短代码中的参数 // $atts = shortcode_atts( $defaults, $atts ); // 提取$content中的所有bv号和av号 preg_match_all('/BV([a-zA-Z0-9]+)/', $content, $bv_matches); preg_match_all('/av([0-9]+)/', $content, $av_matches); // 构建iframe的HTML代码 $iframes = ''; // 生成bv号对应的iframe if (!empty($bv_matches[1])) { foreach ($bv_matches[1] as $bv) { $iframe_url = 'https://player.bilibili.com/player.html?bvid=' . $bv . '&amp;high_quality=1'; $iframe = ' <iframe src="' . $iframe_url . '" frameborder="no" scrolling="no" sandbox="allow-top-navigation allow-same-origin allow-forms allow-scripts" allowfullscreen="allowfullscreen" style="position: absolute; width: 100%; height: 100%; left: 0; top: 0;"> </iframe> '; $iframes .= $iframe; } } // 生成av号对应的iframe if (!empty($av_matches[1])) { foreach ($av_matches[1] as $av) { // 将$av转换为整数类型 $av = intval($av); $iframe_url = 'https://player.bilibili.com/player.html?aid=' . $av . '&amp;high_quality=1'; $iframe = ' <iframe src="' . $iframe_url . '" frameborder="no" scrolling="no" sandbox="allow-top-navigation allow-same-origin allow-forms allow-scripts" allowfullscreen="allowfullscreen" style="position: absolute; width: 100%; height: 100%; left: 0; top: 0;"> </iframe> '; $iframes .= $iframe; } } // 返回所有iframe的HTML代码 return $iframes; } add_shortcode( 'vbilibili', 'vbilibili_shortcode' );简码使用说明用法,下面哪种都行 //请把< 换成 [ <vbilibili]啥都行，只要有bv和av在这就行了[/vbilibili] <vbilibili]https://www.bilibili.com/video/BV1EX4y127J9/[/vbilibili] <vbilibili]BV1L94y1p72w[/vbilibili] <vbilibili]BV1L94y1p72w，https://www.bilibili.com/video/BV1RN41BV1RN411w7Bv1w7Bv/[/vbilibili] <vbilibili]华为能挡子弹？Mate 60 Pro 碾压 跌落 实弹测试！ - 哔哩哔哩https://www.bilibili.com/video/BV1L94y1p72w/[/vbilibili]参数av:Bilibili 视频的 AV 号av和bv必填一项bv:Bilibili 视频的 BV 号av和bv必填一项h:X/Xpx/X% Bilibili 视频的高度号w:X/Xpx/X% Bilibili 视频的宽度号注意：Bilibili 视频的 AV 号或 BV 号是必须的，但只要输入 AV 号或 BV 号的其中一个即可。Bilibili 视频的 AV 号不要带上 av如果是列表页则在参数后面带第几个视频的参数:<vbilibili]BV1YT4y1H7YM&page=2[/vbilibili] //请把 < 换成 [ 列子{bilibili bvid="BV1YT4y1H7YM" /}

h5ai--目录列表下载程序网站部署 1.说明容器化部署，在docker hub上找h5ai的镜像，本文使用的是awesometic/h5ai的镜像进行部署参考2.部署mkdir -p /home/h5ai/_h5ai/private/conf/docker pull awesometic/h5ai:latestdocker run -d --name h5ai awesometic/h5ai(这个镜像的配置文件在/config/h5ai/_h5ai/private/conf/，其他镜像可能在别的位置)docker cp h5ai:/config/h5ai/_h5ai/private/conf/options.json /home/h5ai/_h5ai/private/conf/docker rm -f h5ai参考： https://zhuanlan.zhihu.com/p/103907645 https://blog.nicky1605.com/index-website-h5ai-install.htmla.设置默认语言。在配置文件中搜索“l10n”找到设置，将en改为zh-cn即可。"l10n": { "enabled": true, "lang": "zh-cn", "useBrowserLang": true },2.开启文件搜索功能。b. 在配置文件中搜索“search”，将false改为true。"search": { "enabled": true, "advanced": true, "debounceTime": 300, "ignorecase": true },设置好后，h5ai左上角就有会有一搜索按钮，即可搜索h5ai目录里的文件。c. 打包下载多文件下载设置需要配置两步。第一步，先配置让h5ai支持文件选择（就是复选框喽！）"select": { "enabled": true, "clickndrag": true, "checkboxes": true },配置文件中搜索“download”，将false改为true，如果需要设置打包文件的格式为zip，而不是默认的tar的话，需要将php-tar改为shell-zip。"download": { "enabled": true, "type": "shell-zip", "packageName": null, "alwaysVisible": false },d. 信息与二维码可以通过扫码的方式下载文件。在配置文件中搜索“info”，将false改为true。这步未实现"info": { "enabled": true, "show": true, "qrcode": true, "qrFill": "#999", "qrBack": "#fff" },打开侧栏信息按钮后，把鼠标悬停在文件上就可以看见h5ai右侧显示文件类型和二维码，手机扫码就可以下载文件。3.启动并验证docker run -d --name h5ai --restart always -p 666:80 -v /data/h5ai/:/h5ai -e TZ=Asia/ShangHai -e HTPASSWD=true -e HTPASSWD_USER=666 -e HTPASSWD_PW=666 --restart unless-stopped awesometic/h5ai[blockquote2 name='洛维花']去掉-e HTPASSWD=true -e HTPASSWD_USER=666 -e HTPASSWD_PW=666进行无密码访问[/tip]可以选中并下载，这个版本点击预览换成了直接下载

Cloudflare 设置端口回源，nas套cloudflare福音 首先选择任意域名然后正常解析域名然后在规则里选择 Origin Rules 创建新的规则最后按照下列图片设置规则保存