WordPress安全加固：从.htaccess到WAF的完整防线

WordPress安全加固：从.htaccess到WAF的完整防线

WordPress安全不是装一个安全插件就完事。分层防御体系：服务器层——wp-config.php和.htaccess设置600权限，禁用PHP执行在/wp-content/uploads/目录。应用层——禁用XML-RPC（90%站点不需要），限制登录尝试次数（Limit Login Attempts Reloaded），强制使用强密码策略。WAF层——Cloudflare WAF或Wordfence的WAF规则拦截SQLi、XSS和路径遍历攻击。

最容易被突破的点是过期的插件和主题。WordPress安全漏洞中72%来自第三方插件。用wp-cli plugin list --format=json每周导出插件清单，自动比对WPScan漏洞数据库，有高危漏洞的插件在24小时内更新或禁用。