WordPress后台暴力破解防护：从零开始的五步加固方案

WordPress后台（wp-login.php）几乎每天都会收到大量来自机器人的密码猜测请求，这就是暴力破解。
如果不加防护，弱密码很容易被攻破，导致网站被篡改或挂马。
本文给你一套零基础也能操作的加固方案，从修改登录入口到限制尝试次数，再到IP白名单，一步步减少被暴力破解的风险。

暴力破解为什么专盯wp-login.php

WordPress默认登录地址固定为/wp-login.php或/wp-admin，攻击者只要扫描到网站路径，就能发起字典式密码枚举。
服务器日志里常见的POST /wp-login.php请求就是暴力破解的痕迹。
防护的核心思路就是让这个地址不易被发现、让错误次数受限、或者只允许特定IP访问。

加固前需要确认的基本信息

• 网站根目录：一般位于/www/wwwroot/你的域名（宝塔面板）或/var/www/html（LNMP环境）。
• 是否有FTP或服务器文件管理权限（如宝塔面板的文件管理器）。
• 推荐先给管理员账号设置高强度密码（大小写+数字+符号，15位以上）。

方法一：修改默认登录地址（推荐无插件方案）

如果你不想安装额外插件，可以通过修改.htaccess文件来隐藏wp-login.php。注意：此方法需要Apache服务器且开启mod_rewrite。

1. 在网站根目录找到.htaccess文件（如没有则新建一个）。
2. 在# BEGIN WordPress之前添加以下规则：

RewriteEngine On
RewriteRule ^mysecretlogin$ /wp-login.php [L,QSA]
RewriteCond %{REQUEST_URI} /wp-login\.php [NC]
RewriteCond %{REMOTE_ADDR} !^你的IP$
RewriteRule .* - [F,L]

将mysecretlogin换成你自己记住的路径（比如admin-entrance），把你的IP换成自己电脑的公网IP（不知道可以访问ip.sb查看）。

1. 保存文件，之后只能通过https://你的域名/mysecretlogin访问登录页，直接访问/wp-login.php会返回403禁止。

方法二：安装登录限制插件（零代码操作）

如果你不熟悉改代码，推荐使用Login LockDown或Limit Login Attempts Reloaded插件。
它们在后台安装并激活后，无需额外配置即可生效，默认限制连续3次失败后锁定15分钟。

操作路径：WordPress后台 → 插件 → 安装插件 → 搜索“Limit Login Attempts Reloaded” → 安装并启用。
启用后可在“设置 → 限制登录尝试”中调整锁定时间和次数。

方法三：使用.htaccess限制IP白名单

如果你有一个固定的管理IP（比如公司或家庭宽带固定IP），可以直接在.htaccess中只允许该IP访问wp-login.php：

Order Deny,Allow
Deny from all
Allow from 你的IP地址

保存后，其他人访问登录页面会显示403错误。
注意换IP后自己也会被挡，需要提前添加多个IP或使用动态DNS解决。

常见问题与避坑指南

Q1：用了隐藏地址后忘记新地址进不去后台怎么办？
用FTP或宝塔文件管理器，将.htaccess里的规则暂时注释掉（行首加#），恢复访问后重新设置并牢记路径。

Q2：安装限制登录插件后，自己也被锁定了怎么办？
插件通常会在用户表里记录锁定状态，等待锁定时间结束即可。也可以直接通过数据库删除wp_options表中相关记录。零基础用户建议直接邮件联系主机商请求临时解锁。

Q3：Nginx服务器（宝塔默认）如何实现类似隐藏？
Nginx不支持.htaccess，需要修改站点配置文件。在宝塔面板 → 网站 → 设置 → 配置文件，在server段添加：

location /mysecretlogin {
    try_files /wp-login.php?$args;
}
location ~ ^/wp-login\.php {
    deny all;
    allow 你的IP;
    try_files $uri =404;
}

然后重载Nginx生效。

如何验证防护是否生效

1. 检查隐藏地址：在浏览器中访问你的/mysecretlogin，应该正常显示登录表单；访问/wp-login.php应返回403或空白。
2. 测试登录限制：故意连续输入错误密码三次以上，页面应提示“登录尝试次数过多”，并在一段时间内禁止再次提交。
3. 查看服务器日志：通过宝塔面板 → 安全 → 防火墙 → 查看最近拦截记录，应有大量对wp-login.php的拒绝访问日志。

完成以上任意两种方法的组合，你的WordPress后台暴力破解防护就已经达到较高水准。
建议长期保持登录限制插件开启，并定期检查日志中是否有异常IP。
如果后续想进一步强化，还可以结合CloudFlare WAF或自定义安全插件（如Wordfence）进行深度防护。
希望这篇教程能帮你远离暴力破解的困扰，安心维护网站。