宝塔网站防篡改插件，保护CMS源码安全
网站被挂马或首页被篡改，往往是因为CMS源码文件被恶意写入。
宝塔面板的网站防篡改插件通过锁定文件、监控变更来阻止这类行为。
下面从零开始，带你在宝塔面板中完成防篡改插件的安装、规则配置和效果验证。
适用场景与准备工作
防篡改插件适合运行WordPress、织梦、ThinkPHP等CMS的站点。
如果你的服务器已经安装宝塔面板（Linux版或Windows版均可），并且网站程序文件位于默认的/www/wwwroot/目录下，就可以直接操作。
开始前确认三点：
- 宝塔面板版本较新，能在软件商店中搜索到“网站防篡改”插件。如果搜不到，可先在面板首页点击“更新”升级到最新版。
- 当前登录的宝塔账号有管理插件和文件的权限。
- 网站已经完成上线部署，并且近期没有频繁更新主题、插件或核心文件的计划。
防篡改的核心逻辑是：对指定目录下的文件生成指纹，一旦文件内容被修改，插件会拦截写入并记录日志。
安装并启用防篡改插件
登录宝塔面板后，按以下路径操作：
- 点击左侧菜单的“软件商店”。
- 在搜索框输入“防篡改”，找到“网站防篡改”或类似名称的插件。
- 点击“安装”，等待安装完成。
- 安装后点击“设置”，进入插件管理界面。
如果软件商店没有显示该插件，可以尝试在“软件商店”的“官方插件”分类中查找，或者检查面板是否已绑定宝塔账号。
部分版本可能需要手动刷新软件列表。
安装完成后，插件通常会自动开启基础防护。
此时不要急着关闭，先进入下一步配置规则。
配置防篡改规则与CMS目录排除
插件默认会保护整个网站目录，但CMS在运行过程中需要写入缓存、上传附件、更新插件，如果全部锁定会导致网站功能异常。
因此必须排除可写目录。
以WordPress为例，需要排除的目录包括：
/wp-content/uploads/（上传文件）/wp-content/cache/（缓存）/wp-content/upgrade/（升级临时文件）
在插件设置界面找到“防护目录”或“排除目录”选项，添加上述路径。
不同CMS的排除目录不同，常见参考如下：
- 织梦DedeCMS：排除
/data/、/uploads/ - ThinkPHP：排除
/runtime/、/public/uploads/ - Discuz：排除
/data/、/uc_server/data/
配置时注意：
- 路径要填写绝对路径或相对于网站根目录的路径，具体以插件提示为准。
- 排除目录不要直接写
/，否则防篡改会失效。 - 如果网站有多个域名或子目录，需要分别添加防护规则。
保存规则后，插件会开始扫描并生成文件指纹。
扫描时间取决于文件数量，通常几分钟内完成。
避坑指南：这些操作容易导致网站异常
防篡改插件一旦配置不当，可能让网站后台无法更新文章、无法上传图片，甚至白屏。
以下几个坑要提前避开：
- 不要锁定整个网站根目录：必须排除上传、缓存、日志、session等可写目录。
- 更新CMS或插件前先关闭防篡改：否则更新程序无法写入文件，会中途失败。更新完成后重新开启并重新扫描。
- 不要依赖防篡改代替备份：它只能阻止修改，不能恢复已损坏的文件。建议配合宝塔的“计划任务”定期备份网站。
- 注意文件权限冲突：如果网站目录权限本身设置过严，防篡改插件可能无法正常生成指纹，检查目录所有者是否为
www。
如果开启后网站后台发布文章报错“写入失败”，优先检查排除目录是否包含/wp-content/uploads/和/wp-content/cache/。
验证防篡改是否生效
配置完成后，可以通过两种方式验证：
方法一：手动修改测试文件
- 通过宝塔文件管理器进入网站根目录，找到
index.php。 - 尝试在文件末尾添加一行注释并保存。
- 如果防篡改生效，保存会失败并提示“文件被锁定”或类似信息。
方法二：查看插件日志
- 在插件设置界面点击“防护日志”或“拦截记录”。
- 正常运行时，日志中会显示被拦截的修改尝试，包括时间、文件路径和操作IP。
验证通过后，建议将插件状态保持为“开启”，并定期查看日志。
如果日志中频繁出现同一IP的修改尝试，可以考虑在宝塔防火墙中封禁该IP。
常见疑问
防篡改插件会影响网站访问速度吗？
通常不会。它主要拦截文件写入操作，对正常的读取和访问影响很小。但如果扫描规则过于宽泛，可能增加少量磁盘I/O，建议只防护核心目录。
插件和宝塔防火墙有什么区别？
防火墙主要拦截网络层攻击，防篡改插件关注文件层完整性。两者互补，建议同时开启。
网站迁移后防篡改失效怎么办？
迁移后文件路径可能变化，需要重新配置防护目录并重新扫描。旧规则可以删除。
免费版和付费版功能差异大吗？
不同版本功能可能有差异，具体以宝塔面板软件商店中插件说明为准。基础防篡改功能通常免费版即可满足。
防篡改是网站安全的一道防线，但不是唯一防线。
配合强密码、定期备份和及时更新CMS版本，才能更稳妥地保护CMS源码安全。
如果你正在配置宝塔网站防篡改插件，建议先按本文步骤完整执行，再根据网站实际写入需求微调排除目录。
