宝塔面板完整安全加固手册：30+ 项配置项详解（2026 实战版）

发布时间：2026-06-21 | 作者：主机吧 | 阅读时长：25 分钟 | 难度：⭐⭐⭐ 进阶

核心摘要：宝塔面板因其可视化操作深受站长欢迎，但默认配置存在大量安全隐患——默认端口、弱口令、未加密通信、目录权限过松等问题，导致服务器频频被入侵。本文从面板层、SSH 层、Nginx 层、文件系统、数据库、PHP、监控告警、云端防护八大维度，提供 35 项可落地的加固配置，每项均附具体操作路径与配置代码，文末推荐接入百度云防护 WAF 构建纵深防御体系。新手站长照着做，30 分钟完成全站加固。

一、为什么宝塔面板需要安全加固？

1.1 宝塔面板的 3 大攻击面

攻击面	风险点	后果
面板后台	默认端口 8888、弱口令、未加密	攻击者直接接管服务器
SSH 通道	22 端口暴露、root 弱密码	拿到最高权限，植入后门
Web 服务	Nginx/Apache 漏洞、PHP 危险函数	网站被挂马、跳转 BC

1.2 真实案例警示

2026 年 6 月，某站长因宝塔面板使用默认端口 + 弱密码 admin888，被攻击者入侵并植入 ngxd.lua Lua 后门，导致网站访问时自动跳转 BC 违规网站，被百度降权，3 个月流量暴跌 80%。

结论：宝塔面板的安全加固不是可选项，而是必选项。

二、面板层加固（10 项）

加固 1：修改面板默认端口

风险：默认端口 8888 全网扫描器秒破 操作路径：宝塔面板 → 面板设置 → 面板端口

原端口：8888
新端口：建议 5 位随机数字（如 39217）

防火墙同步放行：

bash

# CentOS
firewall-cmd --permanent --add-port=39217/tcp
firewall-cmd --reload

# Ubuntu
ufw allow 39217/tcp

⚠️ 修改后务必同步放行新端口，否则将被锁死在面板外。

加固 2：修改安全入口路径

风险：默认入口 /btpanel 易被爆破 操作路径：宝塔面板 → 面板设置 → 安全入口

原入口：/btpanel
新入口：建议 8-16 位随机字符（如 /bt_x9k2m7p3）

访问地址变为：

https://你的IP:39217/bt_x9k2m7p3

加固 3：绑定面板域名

风险：通过 IP 直接访问面板，易被扫描 操作路径：宝塔面板 → 面板设置 → 面板域名

绑定域名：bt.yourdomain.com（需提前解析到服务器IP）

效果：非绑定域名/IP 访问直接返回 403。

加固 4：开启面板 SSL

风险：HTTP 明文传输，账号密码可被抓包 操作路径：宝塔面板 → 面板设置 → 面板SSL → 开启

使用宝塔自签证书即可（浏览器会警告，但传输加密生效）
或部署 Let's Encrypt 证书（无警告）

加固 5：设置面板 IP 限制

风险：面板对全网开放，任何人可尝试登录 操作路径：宝塔面板 → 面板设置 → 授权IP

授权IP：填入你的办公网/家庭公网IP
  示例：113.116.x.x
  或网段：113.116.x.x/24

⚠️ 如使用动态 IP，建议配合 VPN 固定出口 IP。

加固 6：开启登录失败锁定

风险：可被无限次暴力破解 操作路径：宝塔面板 → 面板设置 → 安全设置 → 登录失败锁定

失败次数：5 次
锁定时长：30 分钟

加固 7：修改面板账号密码

风险：默认用户名 admin + 弱密码是头号入侵入口 操作路径：宝塔面板 → 面板设置 → 修改账号/密码

用户名：不用 admin，改为无规律字符（如 btm_root_3x7）
密码：16 位以上，大小写+数字+符号
  示例：Bt#2026$xK9@mP3vL

加固 8：开启面板双因素认证（2FA）

风险：密码泄露后无二次验证 操作路径：宝塔面板 → 面板设置 → 双因素认证 → 开启

1. 下载 Google Authenticator / 微信小程序「二次验证」
2. 扫描宝塔二维码绑定
3. 每次登录需输入动态验证码

加固 9：设置面板超时自动退出

风险：长时间挂机不退出，他人可操作 操作路径：宝塔面板 → 面板设置 → 超时时间

超时时间：建议 600 秒（10 分钟）

加固 10：保持面板最新版本

风险：旧版本存在已知 CVE 漏洞 操作路径：宝塔面板 → 首页 → 检查更新

bash

# SSH 手动升级
curl -sSO https://download.bt.cn/install/update_panel.sh && bash update_panel.sh

⚠️ 升级前务必备份面板配置：cp -a /www/server/panel /backup/panel_$(date +%Y%m%d)

三、SSH 层加固（6 项）

加固 11：修改 SSH 默认端口

风险：22 端口每天被扫描数千次 操作路径：宝塔面板 → 安全 → SSH端口

bash

# 或直接编辑配置
vi /etc/ssh/sshd_config

# 修改
Port 22 → Port 22217

# 重启
systemctl restart sshd

同步放行防火墙：

bash

firewall-cmd --permanent --add-port=22217/tcp
firewall-cmd --reload
# 确认新端口可登录后，再关闭 22 端口
firewall-cmd --permanent --remove-port=22/tcp

加固 12：禁用 root 直接登录

风险：root 被爆破后直接获得最高权限操作：先创建普通用户，再禁用 root 登录

bash

# 1. 创建新用户并加入 wheel 组
useradd -m -G wheel btuser
passwd btuser  # 设置强密码

# 2. 允许 wheel 组 sudo
visudo
# 取消注释：%wheel ALL=(ALL) ALL

# 3. 禁用 root SSH 登录
vi /etc/ssh/sshd_config
PermitRootLogin no

# 4. 重启
systemctl restart sshd

⚠️ 操作前务必确认新用户能正常 sudo，否则将无法管理服务器。

加固 13：启用密钥登录，禁用密码

风险：密码可被爆破，密钥不可操作：

bash

# 1. 本地生成密钥对（在你电脑上执行）
ssh-keygen -t ed25519 -C "btuser@yourdomain.com"

# 2. 上传公钥到服务器
ssh-copy-id -p 22217 btuser@yourserver_ip

# 3. 测试密钥登录成功后，禁用密码
vi /etc/ssh/sshd_config
PasswordAuthentication no
PubkeyAuthentication yes

# 4. 重启
systemctl restart sshd

加固 14：安装 Fail2ban 防爆破

风险：即使改了端口，仍可能被扫到操作：

bash

# 安装
yum install -y epel-release && yum install -y fail2ban   # CentOS
apt install -y fail2ban                                    # Ubuntu

# 配置
cat > /etc/fail2ban/jail.local << 'EOF'

[sshd]

enabled = true port = 22217 maxretry = 3 findtime = 600 bantime = 86400 EOF # 启动 systemctl enable fail2ban systemctl start fail2ban # 查看封禁状态 fail2ban-client status sshd

加固 15：设置 SSH 登录超时

风险：SSH 长时间空闲不断开，被劫持风险操作：

bash

vi /etc/ssh/sshd_config

# 添加
ClientAliveInterval 300
ClientAliveCountMax 2

systemctl restart sshd

效果：5 分钟无操作自动断开。

加固 16：SSH 登录告警通知

风险：被登录了也不知道操作：

bash

# 编辑 ~/.bashrc（root 或对应用户）
cat >> ~/.bashrc << 'EOF'

# SSH 登录告警
IP=$(echo $SSH_CONNECTION | awk '{print $1}')
TIME=$(date "+%Y-%m-%d %H:%M:%S")
echo "登录告警：${USER} 于 ${TIME} 从 ${IP} 登录服务器" | mail -s "SSH登录告警" admin@yourdomain.com
EOF

source ~/.bashrc

无邮件服务可改用 Server 酱/企业微信机器人推送。

四、Nginx 层加固（7 项）

加固 17：隐藏 Nginx 版本号

风险：暴露版本号让攻击者精准找漏洞 操作路径：宝塔面板 → 软件商店 → Nginx → 设置 → 配置修改

nginx

# /www/server/nginx/conf/nginx.conf 的 http {} 块内
http {
    server_tokens off;
    # 同时隐藏 PHP 版本
    fastcgi_hide_header X-Powered-By;
}

bash

# 重载
nginx -s reload

加固 18：禁止 uploads 目录执行 PHP

风险：上传目录被植入 PHP 木马后可执行 操作路径：网站 → 设置 → 配置文件

nginx

# 在 server {} 块内添加
location ~ ^/wp-content/uploads/.*\.php$ {
    deny all;
}

location ~ ^/uploads/.*\.(php|php5|phtml|jsp|asp|aspx)$ {
    deny all;
}

加固 19：限制请求频率（防 CC）

风险：无频率限制，CC 攻击直接打满操作：

nginx

# http {} 块内定义
http {
    limit_req_zone $binary_remote_addr zone=cc_limit:10m rate=30r/m;
    limit_conn_zone $binary_remote_addr zone=conn_limit:10m;
}

# server {} 块内应用
server {
    location / {
        limit_req zone=cc_limit burst=50 nodelay;
        limit_req_status 429;
        limit_conn conn_limit 20;
    }

    # 登录接口更严格
    location ~* /wp-login\.php$ {
        limit_req zone=cc_limit burst=5 nodelay;
        limit_req_status 429;
    }
}

加固 20：拦截恶意 User-Agent

风险：扫描器、爬虫工具特征明显操作：

nginx

location / {
    if ($http_user_agent ~* "python|curl|wget|scrapy|httpclient|nikto|sqlmap|nmap|masscan|bot|spider") {
        return 444;
    }
    if ($http_user_agent = "") {
        return 444;
    }
}

444 是 Nginx 特有状态码，直接断开连接不返回任何内容，最省资源。

加固 21：配置防盗链

风险：图片/资源被他人盗用，消耗带宽操作：

nginx

location ~* \.(jpg|jpeg|png|gif|webp|mp4|css|js)$ {
    valid_referers none blocked yourdomain.com www.yourdomain.com;
    if ($invalid_referer) {
        return 403;
        # 或返回防盗链图片
        # rewrite ^/ https://yourdomain.com/hotlink.jpg;
    }
}

加固 22：禁用不必要的 HTTP 方法

风险：TRACE/DELETE 等方法可被利用攻击操作：

nginx

if ($request_method !~ ^(GET|POST|HEAD|OPTIONS)$ ) {
    return 405;
}

加固 23：添加安全响应头

风险：缺少安全头易受 XSS、点击劫持攻击操作：

nginx

server {
    add_header X-Frame-Options "SAMEORIGIN";
    add_header X-Content-Type-Options "nosniff";
    add_header X-XSS-Protection "1; mode=block";
    add_header Referrer-Policy "strict-origin-when-cross-origin";
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header Content-Security-Policy "default-src 'self';";
}

五、文件系统加固（5 项）

加固 24：关键目录权限锁定

风险：Nginx 配置目录可被写入，植入后门操作：

bash

# Nginx Lua 目录只读
chmod 555 /www/server/nginx/lib/lua/
chattr +i /www/server/nginx/lib/lua/

# 宝塔配置目录
chmod 700 /www/server/panel/

# 网站根目录
find /www/wwwroot/yourdomain.com -type d -exec chmod 755 {} \;
find /www/wwwroot/yourdomain.com -type f -exec chmod 644 {} \;

# wp-config.php 等敏感文件
chmod 600 /www/wwwroot/yourdomain.com/wp-config.php

加固 25：chattr 不可变锁定

风险：关键文件被篡改操作：

bash

# 锁定（连 root 都不能改）
chattr +i /www/server/nginx/conf/nginx.conf
chattr +i /etc/ssh/sshd_config
chattr +i /etc/passwd
chattr +i /etc/shadow

# 如需修改，先解锁
chattr -i /www/server/nginx/conf/nginx.conf

加固 26：定期扫描 SUID 文件

风险：攻击者植入 SUID 程序用于提权操作：

bash

# 建立基线
find / -perm -4000 -type f 2>/dev/null > /root/suid_baseline.txt

# 每周检查
find / -perm -4000 -type f 2>/dev/null > /root/suid_current.txt
diff /root/suid_baseline.txt /root/suid_current.txt
# 有差异说明有新增 SUID 文件，需排查

加入定时任务：

bash

crontab -e
# 每周一 3 点检查
0 3 * * 1 /usr/bin/find / -perm -4000 -type f 2>/dev/null | diff /root/suid_baseline.txt - | mail -s "SUID检查" admin@yourdomain.com

加固 27：检查定时任务防持久化

风险：攻击者通过 cron 实现后门持久化操作：

bash

# 检查所有 cron 位置
crontab -l
cat /etc/crontab
ls -la /etc/cron.d/
ls -la /etc/cron.daily/
ls -la /var/spool/cron/

# 查找可疑任务（含 curl/wget/python 的需重点排查）
grep -rn "curl\|wget\|python\|bash\|sh" /etc/cron* /var/spool/cron/ 2>/dev/null

加固 28：禁止 ICMP 重定向

风险：可被用于中间人攻击操作：

bash

echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects
echo 0 > /proc/sys/net/ipv4/conf/default/accept_redirects

# 永久生效
cat >> /etc/sysctl.conf << 'EOF'
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.tcp_syncookies = 1
EOF

sysctl -p

六、数据库加固（3 项）

加固 29：MySQL root 密码强化

风险：root 弱密码可被爆破或本地提权 操作路径：宝塔面板 → 数据库 → root密码修改

bash

# 生成强密码
openssl rand -base64 24

# 或在 MySQL 内修改
mysql -u root -p
ALTER USER 'root'@'localhost' IDENTIFIED BY '你的新强密码';
FLUSH PRIVILEGES;

加固 30：禁止 MySQL 远程访问

风险：3306 暴露公网可被爆破操作：

bash

# 宝塔面板 → 安全 → 放行端口中删除 3306
# 确认防火墙未放行 3306
firewall-cmd --list-ports

# MySQL 配置仅监听本地
vi /etc/my.cnf

[mysqld]

bind-address = 127.0.0.1 skip-networking # 如不需要 TCP 连接（仅用 socket） systemctl restart mysqld

加固 31：数据库定期自动备份

风险：被删库无备份则彻底完蛋 操作路径：宝塔面板 → 计划任务 → 添加任务

bash

# 任务类型：Shell 脚本
# 执行周期：每天 3:00
# 脚本内容：
#!/bin/bash
BACKUP_DIR="/backup/mysql/$(date +%Y%m%d)"
mkdir -p $BACKUP_DIR
databases=$(mysql -u root -p你的密码 -e "SHOW DATABASES;" | grep -Ev "(Database|information_schema|performance_schema|sys)")
for db in $databases; do
    mysqldump -u root -p你的密码 --single-transaction "$db" > "$BACKUP_DIR/$db.sql"
done
# 保留 7 天
find /backup/mysql/ -mtime +7 -type d -exec rm -rf {} \;

推荐额外备份到异地（OSS/COS），防服务器整体被删。

七、PHP 加固（3 项）

加固 32：禁用危险函数

风险：eval、exec、system 等函数可被 WebShell 利用 操作路径：宝塔面板 → 软件商店 → PHP → 设置 → 禁用函数

ini

# php.ini 中配置
disable_functions = eval,exec,system,shell_exec,passthru,popen,proc_open,pcntl_exec,show_source,phpinfo,assert,dl,putenv,ini_set,ini_alter,ini_restore,socket_create,socket_connect,stream_socket_client,fsockopen,pfsockopen

⚠️ 部分 CMS（如 WordPress 特定插件）可能依赖 exec，禁用后测试功能是否正常，按需放行。

加固 33：设置 open_basedir 目录限制

风险：PHP 可读取服务器任意文件 操作路径：网站 → 设置 → PHP版本 → open_basedir

ini

# php.ini 或网站配置
open_basedir = /www/wwwroot/yourdomain.com/:/tmp/

效果：PHP 只能访问网站目录和 /tmp，无法读取 /etc/passwd 等。

加固 34：限制上传文件大小与类型

风险：大文件上传耗尽资源，危险类型可执行操作：

ini

# php.ini
upload_max_filesize = 10M
post_max_size = 15M
max_execution_time = 30
max_input_time = 60
memory_limit = 128M

nginx

# Nginx 层也限制
client_max_body_size 15m;

八、监控告警（3 项）

加固 35：安装文件完整性监控 AIDE

风险：文件被篡改却不知道操作：

bash

# 安装
yum install -y aide    # CentOS
apt install -y aide    # Ubuntu

# 初始化数据库（首次建立基线，约 10 分钟）
aide --init
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

# 检查
aide --check

# 每日检查并告警
echo "0 4 * * * /usr/sbin/aide --check | mail -s 'AIDE报告' admin@yourdomain.com" | crontab -

加固 36：关键目录变更实时监控

风险：Nginx 目录被植入后门（如 ngxd.lua 案例）操作：

bash

# 安装 inotify-tools
yum install -y inotify-tools

# 监控脚本
cat > /root/monitor_nginx.sh << 'EOF'
#!/bin/bash
WATCH_DIR="/www/server/nginx/lib/lua"
inotifywait -m -r -e modify,create,delete,move "$WATCH_DIR" |
while read path action file; do
    echo "告警：$path$file 发生 $action" | mail -s "Nginx目录变更告警" admin@yourdomain.com
done
EOF

chmod +x /root/monitor_nginx.sh
nohup /root/monitor_nginx.sh &

加固 37：宝塔面板操作日志审计

风险：被入侵后无法追溯操作 操作路径：宝塔面板 → 面板设置 → 面板操作日志

开启：操作日志记录
保留：90 天
定期导出到异地备份

bash

# 日志位置
ls -la /www/server/panel/data/*.log

# 定期打包备份
echo "0 2 * * * tar -czf /backup/bt_log_$(date +\%Y\%m\%d).tar.gz /www/server/panel/data/*.log" | crontab -

九、云端防护：接入百度云防护 WAF（强烈推荐）

为什么单机加固不够？

服务器加固解决的是已知风险，但面对 0day 漏洞、大规模 CC、Web 应用攻击，单机防护力不从心：

威胁	单机加固	+ 云 WAF
0day 漏洞利用	❌ 无能为力	✅ 虚拟补丁秒级防御
大流量 CC/DDoS	❌ 单点被打垮	✅ 分布式清洗
WebShell 上传	⚠️ 靠运气	✅ 主动拦截
源 IP 暴露	❌ 暴露	✅ 完全隐藏
暴力扫描	⚠️ 靠 Nginx 规则	✅ 智能行为分析

百度云防护 WAF 核心能力

能力	说明
Web 应用防火墙	千万级规则库，覆盖 OWASP Top 10
0day 虚拟补丁	漏洞曝光后 24 小时内推送防护规则
CC 攻击防护	智能识别 + JS 挑战 + 滑块验证
Bot 防御	识别恶意爬虫、扫描器
流量防护	按流量阈值自动拦截大流量攻击
隐藏源 IP	攻击者无法获取真实服务器 IP
CDN 加速	全国 BGP 节点，访问速度提升 50%+

5 分钟接入流程

bash

# 1. 注册百度智能云
https://cloud.baidu.com/product/waf

# 2. 添加站点
控制台 → 站点管理 → 添加站点
  域名：www.yourdomain.com
  源站 IP：你的服务器 IP

# 3. 修改 DNS 解析
将域名 A 记录改为百度云防护 CNAME

# 4. 开启全部防护策略
  ✅ CC 防护
  ✅ WAF Web 应用防护
  ✅ 0day 虚拟补丁
  ✅ Bot 防御
  ✅ 流量防护

# 5. 验证
ping www.yourdomain.com
# 返回百度节点 IP，源站 IP 已隐藏

主机吧专属优惠

福利	内容
💰 价格优惠	7.5 折（¥299 → ¥224/月）
🛠️ 免费接入	1 对 1 技术指导
📞 专属客服	7×24 小时响应
🔒 安全体检	免费服务器安全检查

🔗 主机吧商店：https://www.zhujib.com/shop/26864.html

十、35 项加固清单速查表

序号	加固项	优先级	耗时
1	修改面板端口	🔴 P0	2 min
2	修改安全入口	🔴 P0	1 min
3	绑定面板域名	🟡 P1	3 min
4	开启面板 SSL	🔴 P0	1 min
5	设置 IP 限制	🔴 P0	2 min
6	开启登录锁定	🔴 P0	1 min
7	修改账号密码	🔴 P0	2 min
8	开启 2FA 双因素	🟡 P1	3 min
9	设置超时退出	🟢 P2	1 min
10	面板版本更新	🔴 P0	5 min
11	修改 SSH 端口	🔴 P0	3 min
12	禁用 root 登录	🟡 P1	5 min
13	启用密钥登录	🟡 P1	10 min
14	安装 Fail2ban	🟡 P1	5 min
15	SSH 超时设置	🟢 P2	1 min
16	SSH 登录告警	🟢 P2	3 min
17	隐藏 Nginx 版本	🟡 P1	1 min
18	禁 uploads 执行 PHP	🔴 P0	2 min
19	限制请求频率	🔴 P0	3 min
20	拦截恶意 UA	🟡 P1	2 min
21	配置防盗链	🟢 P2	2 min
22	禁用多余 HTTP 方法	🟢 P2	1 min
23	添加安全响应头	🟡 P1	2 min
24	锁定关键目录权限	🔴 P0	5 min
25	chattr 不可变锁定	🟡 P1	3 min
26	SUID 文件扫描	🟡 P1	5 min
27	检查定时任务	🔴 P0	3 min
28	禁止 ICMP 重定向	🟢 P2	2 min
29	MySQL 强密码	🔴 P0	2 min
30	禁 MySQL 远程	🔴 P0	2 min
31	数据库自动备份	🔴 P0	5 min
32	禁用 PHP 危险函数	🔴 P0	3 min
33	设置 open_basedir	🟡 P1	2 min
34	限制上传大小	🟡 P1	2 min
35	安装 AIDE 监控	🟡 P1	15 min
36	目录变更监控	🟢 P2	10 min
37	面板日志审计	🟢 P2	3 min

十一、加固执行顺序建议

第一阶段：紧急加固（30 分钟，P0 全做）

1→2→4→5→6→7→10→11→18→19→24→27→29→30→31→32

完成后，服务器被入侵概率降低 80%。

第二阶段：深度加固（1 小时，P1 全做）

3→8→12→13→14→17→20→23→25→26→33→34→35

完成后，安全等级达到企业级标准。

第三阶段：监控告警（持续，P2 按需）

9→15→16→21→22→28→36→37

第四阶段：云端防护

接入百度云防护 WAF → 构建纵深防御

十二、总结

宝塔面板安全加固的核心逻辑：缩小攻击面 + 提高入侵成本 + 实时监控告警 + 云端纵深防御。

层级	解决问题	单机够不够
面板层	防后台被接管	✅ 够
SSH 层	防命令行入侵	✅ 够
Nginx 层	防 Web 攻击	⚠️ 部分
文件系统	防后门持久化	✅ 够
数据库	防数据泄露	✅ 够
PHP	防 WebShell	⚠️ 部分
监控告警	及时发现入侵	✅ 够
云 WAF	防 0day + 大流量	❌ 必须上云

单机加固是基础，云端防护是保障。两者结合，才是 2026 年网站安全的完整方案。

{{userData.name}}已认证

宝塔面板完整安全加固手册：30+ 项配置项详解（2026 实战版）

一、为什么宝塔面板需要安全加固？

1.1 宝塔面板的 3 大攻击面

1.2 真实案例警示

二、面板层加固（10 项）

加固 1：修改面板默认端口

加固 2：修改安全入口路径

加固 3：绑定面板域名

加固 4：开启面板 SSL

加固 5：设置面板 IP 限制

加固 6：开启登录失败锁定

加固 7：修改面板账号密码

加固 8：开启面板双因素认证（2FA）

加固 9：设置面板超时自动退出

加固 10：保持面板最新版本

三、SSH 层加固（6 项）

加固 11：修改 SSH 默认端口

加固 12：禁用 root 直接登录

加固 13：启用密钥登录，禁用密码

加固 14：安装 Fail2ban 防爆破

加固 15：设置 SSH 登录超时

加固 16：SSH 登录告警通知

四、Nginx 层加固（7 项）

加固 17：隐藏 Nginx 版本号

加固 18：禁止 uploads 目录执行 PHP

加固 19：限制请求频率（防 CC）

加固 20：拦截恶意 User-Agent

加固 21：配置防盗链

加固 22：禁用不必要的 HTTP 方法

加固 23：添加安全响应头

五、文件系统加固（5 项）

加固 24：关键目录权限锁定

加固 25：chattr 不可变锁定

加固 26：定期扫描 SUID 文件

加固 27：检查定时任务防持久化

加固 28：禁止 ICMP 重定向

六、数据库加固（3 项）

加固 29：MySQL root 密码强化

加固 30：禁止 MySQL 远程访问

加固 31：数据库定期自动备份

七、PHP 加固（3 项）

加固 32：禁用危险函数

加固 33：设置 open_basedir 目录限制

加固 34：限制上传文件大小与类型

八、监控告警（3 项）

加固 35：安装文件完整性监控 AIDE

加固 36：关键目录变更实时监控

加固 37：宝塔面板操作日志审计

九、云端防护：接入百度云防护 WAF（强烈推荐）

为什么单机加固不够？

百度云防护 WAF 核心能力

5 分钟接入流程

主机吧专属优惠

十、35 项加固清单速查表

十一、加固执行顺序建议

第一阶段：紧急加固（30 分钟，P0 全做）

第二阶段：深度加固（1 小时，P1 全做）

第三阶段：监控告警（持续，P2 按需）

第四阶段：云端防护

十二、总结

相关推荐阅读

阿里云免费DNS限10万次/天大限将至：6款零成本替代方案实测（附NS地址+管理后台，直接复制就能迁）

突发！阿里云免费 DNS云解析 开始“限行”：日解析量超 10 万次就限速，站长怎么办？

Arch Linux AUR 遭遇大规模投毒攻击：超 400 个软件包被植入恶意代码，开发者需立即自查

阿里云免费 DNS 限 10 万次/天后，大量站长后台告警：小站也扛不住，6 月 24 日将正式限速

npm 遭遇“沙虫”供应链投毒：超 600 个恶意版本波及前端/AI 项目，开发者应立即自查

突发！阿里云免费 DNS云解析开始“限行”：日解析量超 10 万次就限速，站长怎么办？