网站上线后除了提速，另一件重要的事就是安全。这篇文章记录我给自己网站做的安全加固过程，全部用服务器自带能力和免费方案，适合个人博客参考。
先看日志：蜘蛛探测有多频繁
我在排查收录问题时顺手翻了服务器日志，发现一个很有意思的现象：很多自称搜索引擎蜘蛛的请求，实际是在探测网站漏洞。比如 Baiduspider 的 UA 访问 /.env.production、/credentials.js、/api/sysConfig/getAll 这类敏感路径，全部返回 404。这种探测每天都有，不加固是不行的。
一、服务器层面
- 防火墙只开必要端口：只开放 80/443（网站）和 22（SSH），其他端口一律关掉。之前检查发现 888、8888、3000、39000-40000 都对外开放，这些不用的端口全是风险入口
- SSH 强化：禁止 root 直接登录，改用普通用户 + 密钥登录；改掉默认 SSH 端口，减少暴力破解
- 宝塔自带 WAF：宝塔面板有免费的网站防火墙，开启后能拦截大部分常见攻击（SQL 注入、XSS、恶意扫描）
二、WordPress 层面
- 隐藏后台地址：默认
/wp-admin太显眼，改成自定义路径，减少爆破尝试 - 限制登录尝试次数：装一个登录限制插件，连续输错几次就锁定 IP 一段时间
- 移除无用的入口文件：xmlrpc.php 很多攻击都走这里，不用的直接禁用或屏蔽
- 定期备份：数据库和文件至少每周备份一次，出问题能快速恢复
三、内容层面
- 后台账号不要用 admin，密码用强密码（大小写+数字+符号）
- 所有主题、插件保持最新版本，旧版本漏洞最多
- 不用的插件直接删除，多一个插件多一个攻击面
总结
安全没有绝对，只有相对。个人博客做到「不被轻易攻破」就够了：端口收紧 + WAF + 强密码 + 定期备份，这四件事做完，99% 的常见攻击都进不来。
