政企级 WordPress 安全加固指南：从防暴力破解到 WAF 部署

开源系统的便利性往往伴随着高风险。对于政企级站点，遭遇全网僵尸网络的暴力破解与漏洞扫描是日常。要达到严格的安全合规标准，不能依赖笨重的第三方安全插件，而必须在操作系统与 Web 服务器（Nginx）层建立坚固的护城河。

一、 Nginx 层的核心访问隔离

直接在 Nginx 配置文件中对关键入口实施白名单访问限制或两阶段认证，保护站点后台不被撞库：

# 限制特定 IP 访问后台，或强制开启外部密码认证
location ~ ^/(wp-admin|wp-login\.php) {
    allow 127.0.0.1; # 替换为您自己的固定管理 IP
    # deny all; 
    auth_basic "Protected Area";
    auth_basic_user_file /etc/nginx/.htpasswd;
    include fastcgi_params;
    fastcgi_pass 127.0.0.1:9000;
}

二、 阻断恶意 XML-RPC 爆破

XML-RPC 协议是 WordPress 自动化攻击的重灾区。如果没有远程发布的硬性需求，必须在底层将其彻底关闭：

# 阻断 XML-RPC 请求
location = /xmlrpc.php {
    deny all;
    access_log off;
    log_not_found off;
}